Representación de la UE y RGPD

Semana 1 · una conversación de una hora

Comenzaremos con una conversación y un breve escaneo. ¿Procesas datos personales de personas en la UE y, en caso afirmativo, cuáles, para qué y a través de qué sistemas? Revisaremos tu sitio web, tus canales de venta y tus herramientas principales, y lo compararemos con el artículo 3 del RGPD, el artículo que determina si la ley te es aplicable.

Al final de esta fase, sabrás tres cosas: si el artículo 27 te obliga a nombrar un representante, si necesitas además un Delegado de Protección de Datos, y dónde se encuentra tu mayor exposición. A veces la respuesta es “menos de lo que pensabas”. En ese caso, te lo decimos y aquí termina todo.

Semana 2 a 3 · nosotros trabajando, con dos llamadas cortas intermedias

Ahora dibujamos lo que realmente sucede. Qué sistema contiene qué datos, dónde residen físicamente, quién puede acceder a ellos, cuánto tiempo los conservas y bajo qué base legal los procesas. No el organigrama, sino los flujos reales, incluido tu servicio de asistencia, tu análisis, tu plataforma de marketing y esa unidad compartida que nadie mira ya.

Entrevistamos para eso a tu responsable de TI, a alguien de marketing y a alguien de ventas o soporte. Esos tres juntos suelen saberlo todo; por separado, nadie tiene el panorama completo.

Dos cosas casi siempre salen a relucir aquí: al menos una transferencia fuera de Europa que nadie tenía en mente, y al menos un procesamiento que se basa en el “consentimiento” cuando existe una base legal mejor. Obtienes un registro de procesamiento y un mapa de flujo de datos que te pueden mostrar.

Semana 3 a 4

El papeleo, hecho correctamente desde el principio. Preparamos el mandato escrito que nos designa como tu representante en la Unión y proporcionamos el texto y los datos de contacto que incluyes en tu declaración de privacidad, porque un nombramiento que no figure en ningún registro público no cuenta.

Además, ponemos en orden lo que corresponde: tu aviso de privacidad reescrito según los fundamentos legales de la fase 2, acuerdos de procesamiento de datos con tus proveedores y, cuando sea necesario, cláusulas contractuales tipo con una evaluación de impacto de la transferencia para las transferencias fuera de la UE.

Si trabajas con un abogado, le entregamos el expediente de tal manera que él solo tenga que revisarlo en lugar de armarlo. Eso generalmente te ahorra múltiples veces nuestro costo.

Semana 5 a 6

Los documentos que nadie conoce no brindan protección. Por eso, cerramos con la parte que marca la diferencia en la práctica.

Implementamos las medidas técnicas resultantes de la fase 2: plazos de conservación, derechos de acceso, alojamiento en Europa o seguimiento de origen cuando sea necesario. Redactamos el plan de actuación en caso de brecha de datos, con el reloj de 72 horas, las vías de contacto con el regulador pertinente y quién hace qué. Y ofrecemos a tu equipo una formación de medio día: qué es una brecha de datos, cómo reconocer una solicitud de un interesado y qué hacer con un correo electrónico en el que alguien solicita sus datos.

La formación es deliberadamente práctica. No textos de ley, sino situaciones con las que las personas realmente se encuentran.

Continuo

A partir de aquí, el rol se autogestiona. Somos el punto de contacto en tu declaración de privacidad, gestionamos las solicitudes de los interesados y supervisamos los plazos, mantenemos actualizado el registro de tratamiento y somos el número al que llamas cuando algo sale mal.

Una vez al año nos reunimos nuevamente: qué herramientas se han agregado, qué mercados, qué datos. La privacidad no expira, pero tu empresa sí cambia; y la mayoría de los problemas que vemos surgen en los dos años posteriores a un proyecto de cumplimiento exitoso.