Auditoría RGPD, ENS e ISO 27001
Comprobamos que su entidad cumple y le decimos cómo mejorar
El Reglamento General de Protección de Datos (RGPD) se aplica desde el 25 de mayo de 2018 y, en España, lo completa la Ley Orgánica 3/2018 (LOPDGDD). Una auditoría permite saber, con evidencias, si su entidad cumple, qué riesgos asume y qué debe corregir antes de que lo haga una reclamación o una inspección.
Y si su organización forma parte del sector público, le presta servicios o quiere certificar su seguridad, también le auditamos y asesoramos en el Esquema Nacional de Seguridad (ENS) y en la norma ISO/IEC 27001.
¿Por qué auditar la protección de datos?
El RGPD no impone una «auditoría» con ese nombre, pero exige lo mismo con otras palabras. Quien trata datos debe poder demostrar que cumple (principio de responsabilidad proactiva, arts. 5.2 y 24) y contar con un proceso de verificación, evaluación y valoración regulares de la eficacia de sus medidas de seguridad (art. 32.1.d). La auditoría es la forma ordenada de hacerlo y de dejar constancia.
Qué revisamos en protección de datos
- Registro de actividades de tratamiento y las bases jurídicas de cada tratamiento (arts. 6 y 30 del RGPD).
- Información y consentimientos que se dan a clientes, empleados y usuarios de la web (arts. 7, 13 y 14).
- Atención de derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad (arts. 15 a 22).
- Contratos con proveedores que tratan datos por su cuenta (art. 28).
- Medidas de seguridad y procedimiento ante brechas (arts. 32 a 34).
- Evaluaciones de impacto y transferencias internacionales de datos (art. 35 y capítulo V).
- Web, cookies y comunicaciones comerciales conforme a la LSSI y a la LOPDGDD.
Esquema Nacional de Seguridad (ENS)
El ENS, regulado por el Real Decreto 311/2022, se aplica a todo el sector público y a las empresas que le prestan servicios o soluciones tecnológicas. Los sistemas de categoría media o alta deben someterse a una auditoría ordinaria al menos cada dos años (art. 31); los de categoría básica, a una autoevaluación. Le ayudamos a:
- Determinar la categoría de sus sistemas y elaborar la declaración de aplicabilidad.
- Redactar la política de seguridad, el análisis de riesgos y la normativa interna.
- Preparar la auditoría de certificación y corregir las no conformidades.
- Coordinar el ENS con el RGPD, para no duplicar esfuerzos ni documentos.
ISO/IEC 27001
La norma internacional de sistemas de gestión de la seguridad de la información, en su versión de 2022, es la referencia para demostrar a clientes y socios que su información está protegida. Le acompañamos en la implantación del sistema, realizamos la auditoría interna y le preparamos para la certificación, que otorga una entidad acreditada. Y aprovechamos los controles que comparte con el ENS y con el RGPD.
Qué le entregamos
- Un informe con los hallazgos y el nivel de riesgo de cada uno.
- Un plan de acción priorizado, con lo que conviene corregir primero.
- La documentación actualizada: políticas, cláusulas informativas, registro de actividades y, en su caso, la documentación del ENS o del sistema de gestión ISO 27001.
- Una sesión de presentación de resultados con su equipo.
Cómo trabajamos
- Definimos con usted el alcance y las áreas que se auditan.
- Revisamos la documentación y entrevistamos a los responsables de cada área.
- Redactamos el informe y el plan de acción, y se los presentamos.
- Si lo desea, le acompañamos en la implantación o asumimos la función de DPO externo.
Por qué Davara & Davara
- Más de 40 años dedicados en exclusiva al Derecho de la tecnología. El Prof. Miguel Ángel Davara participó en la redacción de la Ley Orgánica de Protección de Datos de 1999.
- Experiencia con grandes organizaciones: auditamos y asesoramos a grandes empresas y Administraciones públicas.
- Rigor académico: enseñamos protección de datos y Derecho digital en la universidad, y lo que explicamos en clase es lo que aplicamos.
- Formamos a los DPO: nuestro curso de Delegado de Protección de Datos está reconocido en el Esquema de certificación de DPD de la AEPD.
Preguntas frecuentes
¿Es obligatorio auditar la protección de datos?
No existe una obligación general con ese nombre, pero el RGPD exige demostrar el cumplimiento y verificar con regularidad la eficacia de las medidas de seguridad (arts. 24 y 32.1.d). Una auditoría periódica es la mejor prueba ante una reclamación o una inspección de la AEPD.
¿Cuánto dura una auditoría?
Depende del tamaño de su entidad y del alcance que acordemos. Antes de empezar le damos un calendario cerrado, para que sepa en qué momento estará cada entregable.
¿Cada cuánto conviene repetirla?
En protección de datos, recomendamos una revisión al menos anual y siempre que cambien de forma relevante los tratamientos, los sistemas o los proveedores. En el ENS, la auditoría ordinaria es, como mínimo, bienal para las categorías media y alta. En ISO 27001, la entidad certificadora realiza auditorías de seguimiento anuales.
Escríbanos a info@davara.com o llámenos al 91 417 48 98 y cuéntenos su caso.