Cómo establecer un proceso empresarial para gestionar los derechos de los interesados (RGPD)

01

Qué puede hacer una empresa

Una empresa puede construir un proceso repetible para gestionar las solicitudes de los interesados partiendo de los derechos previstos por el RGPD: acceso, rectificación, supresión, limitación del tratamiento, oposición, portabilidad de los datos y revocación del consentimiento, además del derecho a presentar una reclamación ante una autoridad de control. El responsable del tratamiento debe proporcionar esta información dentro de un plazo razonable, y en cualquier caso a más tardar en el plazo de un mes desde la obtención de los datos personales, o, si los datos están destinados a la comunicación con el interesado, a más tardar en el momento de la primera comunicación. Mapear estos elementos permite responder de forma oportuna y documentada a cada solicitud.

02

El contexto: quién decide y quién responde

El proceso se basa en la distinción entre responsable y encargado del tratamiento definida en el artículo 4 del RGPD. Cuando una empresa tiene establecimientos en varios Estados miembros, el establecimiento principal se determina como el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y medios del tratamiento se adopten en otro lugar, en cuyo caso ese establecimiento se considera principal. Conocer con precisión quién decide los fines y medios del tratamiento permite identificar rápidamente quién debe responder a la solicitud de un interesado.

03

El flujo de trabajo paso a paso

Pasos

1. Recibe la solicitud del interesado y registra la fecha de llegada para calcular el plazo de un mes previsto por el RGPD.
2. Identifica qué derecho se está ejerciendo entre acceso, rectificación, supresión, limitación, oposición, portabilidad o revocación del consentimiento.
3. Verifica si el responsable o el encargado del tratamiento debe gestionar la respuesta, según el establecimiento principal.
4. Si el tratamiento se refiere a una actividad de alto riesgo, evalúa si es necesario un reexamen de la evaluación de impacto.
5. Responde al interesado indicando el resultado y recordándole el derecho a presentar una reclamación ante una autoridad de control.

04

Un ejemplo hipotético

Ejemplo hipotético: un cliente escribe a una empresa de comercio electrónico solicitando la supresión de sus datos personales y la revocación del consentimiento para el marketing directo. La oficina de privacidad registra la fecha de recepción, verifica que el tratamiento con fines de marketing se basaba en el consentimiento, y prepara una respuesta que confirme la supresión, indique el periodo de conservación aplicado a los datos restantes y recuerde al cliente su derecho a presentar una reclamación ante una autoridad de control, todo dentro del plazo de un mes previsto por el RGPD.

05

Comprobaciones antes de enviar la respuesta

• La respuesta indica el periodo de conservación de los datos o los criterios utilizados para determinarlo.
• La respuesta señala la existencia de un eventual proceso de decisión automatizado y la lógica utilizada.
• La solicitud se gestiona dentro del plazo de un mes o según los plazos de la primera comunicación.
• Si cambia el riesgo del tratamiento, se evalúa un reexamen de la evaluación de impacto relativa a la protección de datos.
• La descripción del tratamiento se mantiene coherente con la evaluación de necesidad, proporcionalidad y riesgos ya realizada.

06

Cómo un software puede apoyar el proceso

• Un sistema de software puede registrar la fecha de recepción de cada solicitud y calcular automáticamente el plazo de un mes.
• Puede rastrear qué derecho se invocó y quién, dentro de la empresa, se encargó de la respuesta.
• Puede conservar el historial completo de solicitudes y respuestas para demostrar el cumplimiento a lo largo del tiempo.
• Puede señalar cuándo un cambio en el tratamiento requiere un reexamen de la evaluación de impacto relativa a la protección de datos.
• Puede asignar roles y permisos distintos a quienes decidan, respondan y verifiquen las solicitudes.

07

Puntos clave para recordar

• Los derechos que deben rastrearse en cada solicitud son acceso, rectificación, supresión, limitación, oposición, portabilidad y revocación del consentimiento.
• El plazo de respuesta es, a más tardar, de un mes desde la obtención de los datos, salvo plazos vinculados a la primera comunicación.
• Una evaluación de impacto contiene una descripción del tratamiento, una evaluación de la necesidad y proporcionalidad, y medidas para los riesgos.

08

Siguiente paso práctico

Un buen punto de partida es dejarlo por escrito: definir quién en la empresa gestiona las solicitudes de los interesados, en qué plazos, y cuándo es necesario reexaminar la evaluación de impacto relativa a la protección de datos, en particular cuando cambia el nivel de riesgo representado por el tratamiento. Documentar este proceso facilita responder de forma coherente a cada solicitud.