Los siete principios del tratamiento de datos: un procedimiento operativo por rol

01

Los principios que el artículo 5 del RGPD impone al tratamiento

El artículo 5 del RGPD enumera seis principios: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; e integridad y confidencialidad. Un séptimo principio, la responsabilidad proactiva, exige que el responsable del tratamiento sea competente para cumplir los primeros seis y pueda demostrarlo.

02

Por qué la responsabilidad proactiva cambia la organización de los roles

El artículo 5, apartado 2, no solo exige respetar los principios sino demostrarlo. Esto desplaza el trabajo de una declaración de intenciones a un conjunto de evidencias: quién decide las finalidades, quién trata los datos, quién conserva las pruebas de las decisiones tomadas. El RGPD también prevé que el responsable revise la evaluación de impacto cuando cambie el riesgo del tratamiento.

03

Un procedimiento por rol, del responsable al encargado

Pasos

1. El responsable del tratamiento define finalidades determinadas, explícitas y legítimas antes de recoger datos.
2. El responsable verifica que los datos recogidos sean adecuados, pertinentes y limitados a lo necesario.
3. Quien gestiona los datos en el tiempo actualiza o elimina con prontitud la información inexacta.
4. El encargado del tratamiento trata los datos solo bajo instrucciones documentadas del responsable, salvo obligación legal distinta.
5. El responsable revisa la evaluación de impacto cuando cambia el nivel de riesgo del tratamiento.

04

Ejemplo hipotético: una pyme que encarga la gestión de nóminas a un proveedor externo

Ejemplo hipotético. Una empresa encarga el procesamiento de nóminas a un proveedor externo. El responsable documenta las instrucciones dadas al proveedor, que actúa como encargado del tratamiento. El encargado garantiza la confidencialidad del personal autorizado, adopta las medidas de seguridad requeridas y, al finalizar el contrato, elimina o devuelve los datos según la elección del responsable.

05

Verificaciones a realizar antes de considerar un tratamiento conforme

• Las finalidades del tratamiento están escritas y comunicadas, no solo presumidas.
• Los datos recogidos están limitados a lo necesario para esa finalidad.
• Existe un procedimiento para corregir o eliminar datos inexactos.
• El contrato con cada encargado del tratamiento incluye instrucciones documentadas.
• El encargado puede demostrar, con documentos, el cumplimiento de sus obligaciones.

06

Cómo un software de gestión puede apoyar este procedimiento

Una empresa puede pedir a su socio de software que configure la trazabilidad de quién introduce, modifica o elimina datos personales, con roles distintos para el responsable y el encargado del tratamiento. Es una decisión operativa, no una obligación legal vinculada a una herramienta específica.

También puede estructurar un registro interno de las finalidades y los plazos de conservación, con revisión periódica vinculada a los cambios de riesgo del tratamiento, para disponer de evidencias listas en caso de una auditoría.

07

Aclaraciones frecuentes sobre los principios del artículo 5

• Los principios se aplican a todo tratamiento, independientemente del tamaño de la empresa, porque el artículo 5 no introduce umbrales por tamaño.
• La responsabilidad proactiva requiere pruebas concretas: contratos, registros, decisiones documentadas, no solo políticas genéricas.
• La revisión de la evaluación de impacto no es automática cada año, sino necesaria cuando cambia el riesgo del tratamiento.

08

Siguiente paso práctico

Mapea hoy los tratamientos activos en tu empresa asignando a cada uno un responsable, un encargado (si es externo) y una finalidad escrita: es el primer paso para hacer verificable la responsabilidad proactiva.