RGPD y Protección de Datos Personales

Mapear todos los tratamientos de datos personales, crear y llevar el Registro de las Actividades de Tratamiento (RAT, art. 30), clasificar los datos por categorías (ordinarios, sensibles) y aplicar el principio de minimización.

Identificar y documentar la base legal de cada tratamiento (art. 6 y 9: consentimiento, contrato, obligación legal, interés legítimo, misión de interés público), y verificar la proporcionalidad y la minimización de los datos recogidos.

Diseñar mecanismos de consentimiento válido (libre, específico, informado e inequívoco), llevar el registro de los consentimientos para la demostrabilidad y redactar cláusulas informativas conformes (art. 13-14), incluido el consentimiento parental de los menores.

Tramitar las solicitudes de acceso, rectificación, supresión (derecho al olvido), limitación, oposición y portabilidad en el plazo de un mes, con verificación de identidad, coordinación entre servicios y trazabilidad completa.

Integrar la protección de datos desde el diseño y por defecto (art. 25), asesorar a los equipos técnicos, revisar los productos digitales antes de su lanzamiento y realizar evaluaciones de impacto relativas a la protección de datos (EIPD/DPIA, art. 35).

Proponer medidas técnicas y organizativas adaptadas al riesgo (art. 32), configurar cifrado y control de acceso de mínimo privilegio, gestionar los incidentes, notificar las brechas en un plazo de 72 horas (art. 33-34) y llevar a cabo el análisis de las causas.

Revisar y formalizar los contratos de encargo de tratamiento (DPA, art. 28) verificando las cláusulas obligatorias, y regular las transferencias fuera de la UE con las garantías apropiadas del Capítulo V (decisión de adecuación, cláusulas contractuales tipo, BCR).

Planificar y llevar a cabo auditorías internas de conformidad, controlar la retención y la supresión de los datos, verificar la licitud de los tratamientos (incluidos los datos de menores) y garantizar el seguimiento de las recomendaciones.

Auditar cookies y tecnologías de rastreo, gestionar el consentimiento mediante banners conformes, clasificar los datos sensibles (art. 9) y aplicar medidas de protección diferenciadas y proporcionales.

Definir y documentar los plazos de conservación por categoría de datos según las obligaciones legales, comunicar la política de retención a los servicios e implementar la anonimización y la seudonimización.

Evaluar la obligación de designar un Delegado de Protección de Datos (art. 37), elaborar y actualizar la política de privacidad, garantizar la vigilancia normativa y elaborar los informes de conformidad para la dirección (KPIs).

Redactar los procedimientos operativos estándar (SOP) de la protección de datos, responder a las solicitudes de información y gestionar la comunicación y los controles de la autoridad de control.