(OBLIGACIONES de las empresas, administraciones públicas y entidades).
Obligaciones generales del responsable y del encargado del tratamiento.
Las auditorías periódicas venían siendo una obligación directa recogida en la anterior normativa de protección de datos. Ahora, ni el Reglamento General de Protección de Datos, ni la nueva Ley Orgánica de Protección de Datos Personales, imponen la obligación expresa de realizar auditorías.
El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD) no ha incluido una referencia expresa y explícita a la obligación de realizar una auditoría de cumplimiento.
El Reglamento (UE) 2016/679, si exige un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas, medidas técnicas y organizativas que tanto el responsable como el encargado del tratamiento deben implementar para garantizar un nivel de seguridad apropiado para evitar riesgos.
El Reglamento (UE) 2016/679, si exige al Delegado de Protección de Datos (DPD) la obligación de supervisar el cumplimiento de la normativa, de las políticas internas de la Entidad, incluida las auditorías correspondientes, como procedimiento de revisión y evaluación. Esta auditoría no la puede hacer el propio DPD (no es su función y faltaría a su independencia) y debe verificar entre otros, el cumplimiento de las funciones del DPD.
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), no entra ni en la obligación de realizar auditorías ni procesos de verificación alguno, ni hace referencia al RGPD sobre este aspecto.
La Agencia Española de Protección de Datos (AEPD) solo hace referencia a la realización de auditorías, en el marco de las relaciones entre el responsable y el encargado de tratamiento. Auditoria que realizará el responsable o un auditor autorizado por el responsable. Siendo obligación del Encargado de tratamiento poner a disposición del responsable/auditor toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías.
Así pues, los procesos para verificar la eficacia de todas las medidas organizativas y técnicas adoptadas en materia de protección de datos pueden, y deberían, incluir la realización de auditorías de cumplimiento, que se podría realizar en base al cumplimiento ISO27001/2 y/o ENS (Esquema Nacional de Seguridad).
Contacto:
