Auditoría de protección de datos — Auditoría de cumplimiento de la KVKK y el RGPD

¿Qué es una auditoría?

La auditoría de protección de datos evalúa si el tratamiento de datos personales cumple la normativa vigente (RGPD, leyes nacionales de protección de datos y similares). A diferencia de la auditoría de ciberseguridad, el foco es el TRATAMIENTO LÍCITO más que la protección del dato en sí.

¿Por qué se realiza?

El objetivo es detectar los incumplimientos que generan multas administrativas y riesgo reputacional, y verificar que se protegen los derechos de los interesados.

¿Quién la solicita?

Organizaciones que tratan datos personales de forma intensiva
Empresas que operan en la UE o prestan servicios a la UE en virtud del RGPD
Empresas tecnológicas que prestan servicios como encargadas del tratamiento
Proveedores cuyos clientes solicitan garantías de protección de datos
Organizaciones que implantan la ISO/IEC 27701

Criterios de auditoría

El criterio es la legislación de protección de datos aplicable (KVKK, RGPD) junto con una norma de sistema de gestión de la privacidad como la ISO/IEC 27701, si existe. También se añaden las normativas sectoriales y las cláusulas de tratamiento de datos de los contratos con clientes.

Alcance de la auditoría

El inventario de datos personales y el registro de actividades de tratamiento.
La base legal de las actividades de tratamiento
Avisos de privacidad y gestión del consentimiento
Los procesos de ejercicio de los derechos del interesado y los plazos de respuesta
Minimización de datos y períodos de conservación
La política de destrucción y los registros reales de destrucción
Los acuerdos de tratamiento de datos y la gestión de subencargados
Las transferencias transfronterizas de datos y su base legal
Los tratamientos que requieren una evaluación de impacto relativa a la protección de datos (EIPD)
La idoneidad de las medidas técnicas y organizativas
Los procesos de detección, notificación y registro de las violaciones de seguridad de los datos
La concienciación de los empleados y los compromisos de confidencialidad
El nombramiento de una persona de contacto o de un delegado de protección de datos

Normas relacionadas

ISO/IEC 27701
ISO/IEC 27001
ISO/IEC 29134
ISO 19011

Proceso de auditoría

1Selección de los criterios aplicablesSe determina la norma, el esquema o la legislación conforme a la cual se audita; en auditorías temáticas la elección del criterio determina directamente el significado del resultado.
2Evaluación de riesgos y alcanceLas áreas de riesgo se identifican según la actividad y la ubicación de la organización; el número de días de auditoría se planifica en consecuencia.
3Revisión de documentos y registrosSe examinan políticas, procedimientos, permisos, registros de medición y resultados de auditorías anteriores.
4Auditoría in situSe recorren las áreas pertinentes; se efectúan mediciones, observaciones y controles de registros propios del tema.
5Entrevistas con los trabajadoresCuando el tema lo exige, se mantienen entrevistas confidenciales con los trabajadores al margen de la dirección; las declaraciones se contrastan con los registros.
6Evaluación del cumplimiento legalEl cumplimiento de la legislación vigente se comprueba por separado; una no conformidad legal es, en todo esquema, la categoría de hallazgo más grave.
7Reporte de los hallazgosLos hallazgos se clasifican por gravedad y se recogen en un informe.
8Acción correctiva y seguimientoSe obtiene un plan de acciones correctivas; se sigue su cierre dentro del plazo previsto por el esquema.

Hallazgos

Los hallazgos más graves son el tratamiento sin base legal, la no destrucción de datos caducados y la ausencia de un proceso de notificación de violaciones. Estos conllevan un riesgo directo de sanción administrativa.

Informe de auditoría

Datos del organismo, del auditor y del auditado
Norma, esquema o legislación aplicados
Fecha, duración y alcance de la auditoría
Hallazgos de la revisión de documentos y registros
Observaciones in situ y resultados de medición
Hallazgos de las entrevistas con los trabajadores, si se realizaron
Evaluación del cumplimiento legal
Hallazgos, su gravedad y las evidencias
Plan de acciones correctivas y plazos

Límites del resultado

Una auditoría de protección de datos es una evaluación técnica y procedimental; no es una opinión jurídica. La interpretación de la legislación y la valoración vinculante sobre la licitud de un tratamiento corresponden a la autoridad de control competente. El informe de auditoría no es un certificado de cumplimiento ni un documento que ofrezca protección ante la autoridad.

Acreditación

La acreditación varía según el tipo de auditoría. Las auditorías de tercera parte que sustentan la certificación de sistemas de gestión se realizan conforme a ISO/IEC 17021-1 y las que sustentan la certificación de producto conforme a ISO/IEC 17065; estos alcances están sujetos a acreditación. Las auditorías de primera y segunda parte, y las regidas por las reglas propias del titular de un esquema (SMETA, amfori BSCI), no forman parte de la certificación acreditada; se realizan siguiendo la guía ISO 19011 y producen un informe. EUROLAB cuenta con acreditación internacionalmente reconocida conforme a ISO/IEC 17021-1 e ISO/IEC 17065, otorgada por organismos firmantes del acuerdo IAF; qué auditorías pueden ofrecerse dentro del alcance acreditado se confirma por escrito en la fase de oferta.

Alcance y habilitaciones

Auditorías relacionadas

Preguntas frecuentes

¿El hecho de superar la auditoría demuestra que cumplo con la KVKK?

No. El cumplimiento está sujeto a la valoración de la autoridad competente. La auditoría proporciona una garantía interna de que los procesos necesarios para el cumplimiento están implantados y funcionan; puede considerarse un indicio de buena fe y diligencia ante una eventual investigación.

¿Necesito una auditoría de protección de datos si ya cuento con la ISO/IEC 27001?

Puede que sí. La ISO/IEC 27001 se centra en la seguridad de la información; no examina si los datos se tratan de forma lícita. Los avisos de privacidad, el consentimiento, los períodos de conservación y los derechos del interesado no entran en el alcance de la 27001. Para el aspecto de la privacidad, la ISO/IEC 27701 es un marco más directo.

¿Obtengo un certificado como resultado de esta auditoría?

Depende del marco en que se realice la auditoría. Si se realiza bajo un esquema de certificación acreditado, puede dar lugar a un certificado; el resultado de una auditoría realizada a petición del cliente o para una evaluación interna es un informe.

¿Se verifica también el cumplimiento legal?

Sí, y en cada auditoría temática, el incumplimiento legal es la categoría de hallazgo más grave. Por bien establecido que esté el sistema de gestión, si se detecta un incumplimiento de la legislación vigente, se informa con la máxima prioridad.