Auditoría de la protección de datos: algunas preguntas y respuestas

a) Una de las preguntas básicas de la auditoría de la protección de datos, es el sujeto qué la va a realizar. Aquí distinguimos al auditor interno y el externo. El auditor interno deberá poder operar con independencia y transparencia, atendido el organigrama interno de la empresa. Esto se entiende sin perjuicio del poder otorgado a las autoridades de control para realizar auditorías conforme al artículo 58.1.b) RGPD. Potestad que se expresa igualmente en el artículo 51 LOPDGDD, según el plan de trabajo expresado en el artículo 54 LOPDGDD.

b) ¿Quién va a participar en la auditoría de la protección de datos? Ya sea a través de entrevistas o mediante la aportación de documentación, deberán participar al menos:

• – El DPO, en caso de que haya sido nombrado –artículo 19.1.c) RGPD–.
• – El Director de Riesgos.
• – El Director IT –que sea responsable de la seguridad de información.
• – El Compliance Officer.

c) La metodología a utilizar. Es necesario delimitar que metodología se va a proceder. 

•  Norma ISO19011-2011.
• COSO versión número 3.

d) Objetivos de la auditoría:

• Satisfacer la obligación de verificar las medidas de seguridad cada 2 años.
• Constatar posibles deficiencias en el sistema de información de la empresa, y establecer acciones correctoras.
• Considerar oportunidades de mejora y recomendaciones sobre las propias medidas de seguridad auditadas, en un proceso de mejora continua.
• Estudiar en detalle flujos de datos personales o procedimientos internos en los que la LOPDGDD tiene un especial impacto, para ajustarlos a la normativa.
• Concienciar y preparar al personal sobre la importancia de la información personal, asegurando de esta forma la protección y los derechos de los afectados.

e) Contenido obligatorio. Una auditoría adecuada para cumplir con los principios de la normativa de protección de datos debe exigir:

• 1. Revisar los documentos de la empresa.
• 2. Revisar el sistema informático de la empresa.
• 3. Revisar las instalaciones de nuestra empresa.
• 4. Entrevistar a los responsables.
• 5. Emitir informe

Si tienes una empresa y estás buscando expertos en protección de datos puedes contactar con MediaLaw Tech & Legal, una firma de abogados experta en Derecho Digital.

Firmado por Elvira Torres, socia en MediaLAW Tech & Legal en el blog Derecho Disruptivo. Si te interesa la tecnología no dejes de consultar Siglo XXII Legal.