Privacidad y protección de datos
GDPR
GDPR (Reglamento General de Protección de Datos)
El RGPD es el reglamento de la UE que rige cómo se tratan los datos personales. Le ayudamos a comprender sus obligaciones, a implantar los controles y registros adecuados y a demostrar la responsabilidad proactiva.
Qué es GDPR
El Reglamento General de Protección de Datos es una ley de la Unión Europea que rige el tratamiento de datos personales relativos a personas situadas en la UE. Se basa en principios como la licitud, la lealtad y la transparencia, la limitación de la finalidad, la minimización de datos y la responsabilidad proactiva, y otorga a las personas derechos sobre sus datos, incluidos el acceso, la rectificación y la supresión.
El RGPD es un reglamento cuyo cumplimiento usted demuestra, no una norma frente a la que se certifica. Se aplica a las organizaciones situadas fuera de la UE cuando ofrecen bienes o servicios a personas situadas en la UE, o controlan su comportamiento. La responsabilidad proactiva es central: se espera que usted pueda demostrar, mediante registros y decisiones documentadas, que su tratamiento es lícito y que cuenta con una seguridad adecuada.
La anatomía del reglamento
Artículo 5 · Principios
Siete principios rigen todo tratamiento, entre ellos la licitud, la lealtad y la transparencia, la limitación de la finalidad, la minimización de datos, la exactitud, la limitación del plazo de conservación y la integridad y confidencialidad.
Responsabilidad proactiva
El reglamento exige no solo que cumpla, sino que pueda demostrar el cumplimiento mediante registros, decisiones documentadas y gobernanza.
Artículo 6 · Bases legales
Toda actividad de tratamiento debe apoyarse en una de las seis bases legales, desde el consentimiento y el contrato hasta la obligación legal, los intereses vitales, la misión de interés público y los intereses legítimos.
Artículos 15 a 22 · Derechos de los interesados
Las personas tienen derecho a ser informadas, de acceso, de rectificación, de supresión, de limitación, a la portabilidad, de oposición y a protecciones en torno a las decisiones automatizadas.
Artículos 24 a 32 · Deberes del responsable y del encargado del tratamiento
Obligaciones relativas a la protección de datos desde el diseño y por defecto, los registros de tratamiento, los contratos de encargado y las medidas de seguridad técnicas y organizativas adecuadas.
Artículos 33 y 34 · Notificación de brechas
Las violaciones de la seguridad de los datos personales deben notificarse a la autoridad de control, por lo general dentro de las setenta y dos horas, y a las personas afectadas cuando el riesgo sea alto.
Artículo 35 · Evaluaciones de impacto relativas a la protección de datos
El tratamiento de alto riesgo exige una evaluación documentada de los riesgos para las personas y de las medidas que los abordan antes de que comience el tratamiento.
Capítulo V · Transferencias internacionales
Las transferencias de datos personales fuera de la UE deben basarse en una decisión de adecuación o en garantías como las cláusulas contractuales tipo o las normas corporativas vinculantes.
Quién lo necesita
- Cualquier organización que trate datos personales de personas situadas en la UE, con independencia de dónde tenga su sede
- Empresas SaaS y B2B que actúan como encargado del tratamiento para clientes de la UE
- Equipos que se expanden al mercado de la UE o manejan datos de clientes o empleados de la UE
Qué obtiene
- Un ejercicio de mapeo de datos y un registro de actividades de tratamiento
- Bases legales, avisos de privacidad, contratos de encargado del tratamiento y los procesos esenciales de privacidad
- Evaluaciones de impacto relativas a la protección de datos cuando se requieran
- Medidas de seguridad técnicas y organizativas con evidencias de pruebas de penetración
Los plazos dependen del volumen y la sensibilidad de los datos que trata y de su madurez actual. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
El RGPD, Reglamento (UE) 2016/679, se aplica desde el 25 de mayo de 2018 y sigue siendo la ley vigente; su texto no se ha revisado sustancialmente desde que entró en aplicación. Lo que cambia con más frecuencia son las orientaciones que lo rodean, incluidos los dictámenes del Comité Europeo de Protección de Datos y las posiciones de las autoridades de control nacionales, junto con los mecanismos para las transferencias internacionales. No hay una nueva edición a la que haya que migrar, de modo que mantenerse en cumplimiento consiste en conservar sus registros, bases legales y acuerdos de transferencia alineados con las orientaciones actuales en lugar de migrar a una nueva versión.
Qué cuesta
El RGPD es una ley cuyo cumplimiento usted demuestra, no una norma frente a la que se certifica, así que no hay un certificado que comprar y tr3labs nunca es certificador, auditor ni regulador. Los costes son nuestros honorarios de asesoramiento e implantación, presupuestados por adelantado una vez que entendemos su tamaño y su punto de partida, más cualquier aportación independiente que usted decida añadir, como una auditoría externa, una revisión jurídica especializada o un delegado de protección de datos cuando sea obligatorio o útil. Esas partes externas facturan por separado según su propia tarifa y permanecen independientes de nosotros. No presupuestamos a ciegas; definimos el alcance con usted primero.
Cómo tr3labs le lleva hasta allí
Evaluación de alcance y brechas
Mapeamos su tratamiento de datos personales, establecemos su papel como responsable o encargado del tratamiento, elaboramos el registro de actividades de tratamiento y medimos su estado actual frente a los requisitos del RGPD.
Construir los controles y registros
Le ayudamos a fijar las bases legales, actualizar los avisos de privacidad y los contratos, poner en marcha procesos para los derechos de los interesados y la notificación de brechas, y realizar evaluaciones de impacto relativas a la protección de datos cuando sea necesario.
Asegurar los datos
Evaluamos y reforzamos las medidas de seguridad técnicas y organizativas que el RGPD exige, y usamos pruebas de penetración para evidenciar que los datos personales están protegidos de forma adecuada.
Responsabilidad proactiva y apoyo continuo
Reunimos la documentación que demuestra la responsabilidad proactiva y le mantenemos preparado para responder a clientes, socios y autoridades de control.
¿GDPR o ISO 27701?
Ambos tratan los datos personales, por lo que a veces los compradores los consideran lo mismo, pero uno es una ley y el otro es un sistema de gestión certificable que le ayuda a cumplirla.
| GDPR | ISO 27701 | |
|---|---|---|
| Cubre | Un deber legal sobre los datos personales de personas situadas en la UE | Un sistema de gestión de la información de privacidad que usted opera y certifica |
| Quién lo pide | Autoridades de control, clientes y socios | Compradores corporativos y departamentos de compras que buscan garantía |
| Idea central | Demostrar un tratamiento lícito y responsable | Operar controles de privacidad que amplían ISO 27001 |
| Modelo de auditoría | Sin certificado; el cumplimiento se demuestra mediante registros y evidencias | Certificación en dos fases por un organismo acreditado, y después vigilancia |
| A menudo se tiene con | ISO 27001 y las normas sectoriales de privacidad | ISO 27001 y SOC 2 |
Preguntas frecuentes sobre GDPR
- ¿Se puede obtener una certificación de cumplimiento del RGPD?
- El RGPD es un reglamento cuyo cumplimiento usted demuestra, no una norma frente a la que un organismo acreditado le certifica. En principio existen mecanismos de certificación aprobados, pero en la práctica las organizaciones evidencian el cumplimiento mediante registros, decisiones documentadas y una seguridad adecuada. Le ayudamos a construir y mantener esa evidencia.
- ¿Se nos aplica el RGPD si no estamos en la UE?
- Puede aplicarse. El RGPD se aplica a las organizaciones situadas fuera de la UE cuando ofrecen bienes o servicios a personas situadas en la UE, o controlan su comportamiento. Le ayudamos a determinar si se aplica, y cómo, durante la definición del alcance.
- ¿Cuál es la diferencia entre un responsable y un encargado del tratamiento?
- Un responsable del tratamiento decide por qué y cómo se tratan los datos personales, mientras que un encargado del tratamiento actúa siguiendo las instrucciones del responsable. Sus obligaciones difieren según el papel, así que establecer cuál de los dos es usted, y para qué datos, es una de las primeras cosas que hacemos.
Los servicios que te llevan hasta allí
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura