Saltar al contenido
02 · Auditoría02 · Auditing

Auditoría de Protección de DatosData Protection Audit

Medidas técnicas y organizativas, registro de tratamientos.Technical and organisational measures and the register of processing activities.

RGPD · LOPDGDDRGPD · LOPDGDD 2.3 · Auditorías Organizacionales2.3 · Organisational Audits

¿Qué es este servicio?What is this service?

Es la revisión de cómo trata la organización los datos personales: el registro de tratamientos, las bases legales, los plazos de conservación, las medidas técnicas y organizativas, los contratos con encargados y el procedimiento para atender derechos.

A review of how the organisation handles personal data: the processing register, legal bases, retention periods, technical and organisational measures, processor contracts and the procedure for handling individuals' rights.

¿Para qué se usa?What is it used for?

Sirve para saber si lo que la organización declara es lo que realmente hace. Casi siempre hay distancia: una política de privacidad que promete borrar a los dos años mientras la base guarda todo desde 2015, o un registro de tratamientos que no incluye la mitad de las herramientas que usa marketing.

It shows whether what the organisation declares is what it actually does. There is almost always a gap: a privacy notice promising deletion after two years while the database keeps everything since 2015, or a processing register missing half the tools marketing uses.

Qué beneficios traeBenefits it delivers

  • Encuentra tratamientos no declarados, que son los que generan sanción y los que nadie recuerda.
  • Revisa la conservación de datos, que es el incumplimiento más extendido y el más fácil de demostrar por una autoridad.
  • Verifica los contratos con proveedores que tratan datos, que es por donde ocurren la mayoría de las filtraciones.
  • Prueba el procedimiento de atención de derechos, que suele existir en el papel y no en la práctica.
  • Finds undeclared processing activities, the ones that draw penalties and that nobody remembers.
  • Reviews data retention, the most widespread breach and the easiest for an authority to prove.
  • Verifies contracts with suppliers that process data, where most leaks actually occur.
  • Tests the rights-handling procedure, which usually exists on paper but not in practice.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No hay obligación legal de auditar protección de datos con esa periodicidad, pero la Ley 8968 sí obliga a cumplir, y una auditoría es la forma de saber si se cumple.
  • La Ley 8968 exige consentimiento informado y expreso, y reconoce los derechos de acceso, rectificación y eliminación.
  • La reforma en trámite, el proyecto 23097, es más exigente que la ley vigente. No está aprobada, pero conviene auditar mirando hacia dónde va.
  • There is no legal obligation to audit data protection at a set frequency, but Law 8968 does require compliance, and an audit is how the organisation learns whether it complies.
  • Law 8968 requires informed, express consent and grants rights of access, rectification and deletion.
  • The reform in progress, bill 23097, is stricter than the law in force. It is not enacted, but auditing with an eye on where it is heading is sensible.

InternacionalInternational

  • El RGPD exige verificar periódicamente la eficacia de las medidas técnicas y organizativas, que es precisamente esta auditoría.
  • El principio de responsabilidad proactiva obliga a poder demostrar el cumplimiento, no solo a cumplir.
  • Si hay delegado de protección de datos designado, supervisar el cumplimiento es una de sus funciones.
  • The GDPR requires regularly verifying the effectiveness of technical and organisational measures, which is exactly this audit.
  • The accountability principle requires being able to demonstrate compliance, not merely to comply.
  • Where a data protection officer is appointed, monitoring compliance is one of their duties.

Requisitos mínimosMinimum requirements

  • Registro de tratamientos, aunque esté desactualizado: comparar lo declarado con lo real es parte del trabajo.
  • Acceso a los sistemas donde viven los datos y a los formularios donde se recolectan.
  • Contratos con proveedores que tratan datos por cuenta de la organización.
  • Un interlocutor por área, porque cada una trata datos que las demás desconocen.
  • The processing register, even if outdated: comparing declared with actual is part of the work.
  • Access to the systems where data lives and the forms where it is collected.
  • Contracts with suppliers that process data on the organisation's behalf.
  • A contact per area, since each processes data the others know nothing about.

Plazo típico de entregaTypical delivery time

3 a 6 semanas 3 to 6 weeks rango habitual del mercado usual market range

El rango habitual del mercado va de tres a seis semanas según el tamaño y la cantidad de áreas. Lo que más tiempo consume es cotejar el registro declarado con los sistemas reales, porque exige entrevistar área por área.

The usual market range runs from three to six weeks depending on size and the number of areas. What consumes the most time is reconciling the declared register against the real systems, which requires interviewing area by area.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

PRODHABPRODHAB
Agencia de Protección de Datos de los Habitantes, la autoridad costarricense en la materia. Costa Rica's Data Protection Agency, the national authority on the matter.
Base legalLawful basis
El motivo que legitima tratar un dato personal. Sin base legal, el tratamiento es ilícito aunque sea útil. The ground legitimising the processing of personal data. Without one, processing is unlawful however useful.
ConservaciónRetention
Cuánto tiempo se guarda un dato. Guardarlo indefinidamente es un incumplimiento en sí mismo. How long data is kept. Keeping it indefinitely is a breach in itself.
Derechos ARCOARCO rights
Acceso, rectificación, cancelación y oposición: lo que una persona puede exigir sobre sus datos. Access, rectification, cancellation and objection: what an individual can demand regarding their data.