Qué incluye
La barra del registro de actividades condiciona casi todo lo que viene después, y las dos filas de ensayo existen porque un procedimiento que nadie ha ejecutado no es un procedimiento:
- Puesta en marcha del programa y alcance — Responsabilidad asignada con nombre, determinación de si actúas como responsable o como encargado del tratamiento en cada actividad, qué entidades y qué jurisdicciones entran en el alcance, un análisis de brechas y el foro de gobierno. Aquí se decide también si te corresponde designar delegado de protección de datos y, en su caso, comunicar esa designación a la AEPD. Hito: alcance y roles acordados.
- Registro de actividades de tratamiento: el cimiento — Talleres de descubrimiento con cada área, inventario de sistemas, mapa de actividades de tratamiento y de flujos de datos, marcado de las categorías especiales de datos, y la aprobación del registro con las personas que son dueñas de cada tratamiento. Hito: registro de actividades con línea base.
- Base jurídica, conservación y transferencias — Todo derivado del registro: una base jurídica por actividad, ponderaciones donde te apoyes en el interés legítimo, recogida y retirada del consentimiento, reglas de conservación y de supresión, mapa de transferencias internacionales, y cláusulas informativas reescritas a partir de lo que realmente haces. Hito: base jurídica y conservación aprobadas.
- Derechos y capacidad de respuesta — Procedimiento de atención de derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad; verificación de identidad; un canal de entrada; búsqueda y extracción a través de los sistemas; personas formadas para tramitarlos; y un simulacro cronometrado de una solicitud completa de principio a fin. Hito: procedimiento de derechos probado de extremo a extremo.
- Seguridad y preparación ante brechas — Revisión de medidas técnicas y organizativas, detección y escalado, el procedimiento de evaluación y de decisión sobre notificación, el registro interno de brechas, y un ejercicio de mesa ejecutado contra el reloj. Hito: respuesta ante brechas ensayada.
- Evaluaciones de impacto, proveedores y operación continua — Criterios de cribado y evaluaciones de impacto sobre los tratamientos de alto riesgo, revisión y regularización de los contratos con encargados del tratamiento, formación, y el proceso de cambio que mantiene el registro al día cuando el programa deja de ser un programa. Hito: posición defendible alcanzada.
Cómo personalizarla
- Parte las filas de descubrimiento y de registro a una línea por área o unidad de negocio; una sola fila esconde el mayor bloque de trabajo del plan.
- Si actúas como encargado del tratamiento y no como responsable, reconstruye las fases de derechos y de brechas alrededor de tu obligación de asistir y de notificar a tus responsables.
- Añade una fila por ruta de transferencia si mueves datos fuera del Espacio Económico Europeo: el mecanismo y el análisis que lo sostiene cambian según la ruta y el destino.
- Añade una barra propia para la designación del delegado de protección de datos si te corresponde, con su comunicación a la AEPD detrás: hay supuestos en los que la designación es obligatoria y otros en los que es voluntaria, y confirmar en cuál estás es trabajo de asesoría, no una casilla.
- Alarga la fase de derechos si tus datos viven en muchos sistemas; la herramienta de extracción es casi siempre el cuello de botella, no el análisis jurídico.
- Añade filas para cualquier actuación ante la autoridad, consulta previa o reclamación ya viva, porque se van a comer la prioridad del plan.
- Mantén la última fase corriendo después del hito: el registro de actividades se degrada en el momento en que entra un sistema o un proveedor nuevo.
Consejos de programación
- Construye el registro antes que las políticas. Una política escrita antes de saber qué tratamientos existen describe una organización que no tienes, y la primera solicitud lo va a enseñar.
- Cronometra el simulacro. Lo útil de una solicitud de prueba es cuántos días tardó y dónde se atascó, no si acabaste produciendo el archivo.
- Ensaya la decisión sobre la brecha, no solo la respuesta técnica. Lo difícil es valorar el riesgo y decidir si procede notificar, y esa decisión tiene que tomarla gente que ya la haya tomado antes.
- Deja escrito por qué no notificaste. Si valoras que una brecha no es notificable, el razonamiento y su registro son lo que defiende la decisión más adelante.
- Mete el registro dentro del proceso de cambio. Un proveedor nuevo, un sistema nuevo o una funcionalidad nueva deberían actualizar el registro por rutina, o lo estarás reconstruyendo dentro de dos años.
Plantillas relacionadas
- Plantilla de plan de certificación ISO 27001
- Plantilla de cronograma de cumplimiento SOC 2
- Plantilla de plan de auditoría interna
- Plantilla de plan de proyecto de migración de datos
- Plantilla de plan de gestión del cambio
- Ver todas las plantillas de diagramas de Gantt
Esta plantilla está en español. Las páginas relacionadas que aún no se han traducido se abren en inglés.
Preguntas frecuentes
¿Cuánto dura un programa de cumplimiento del RGPD?
La plantilla cubre unos quince meses hasta una posición defendible. La mayor parte de ese tiempo es el trabajo de registro de actividades y la herramienta que hay detrás de la atención de derechos, no la redacción jurídica. Conviene decir claramente que el programa no termina ahí: el registro hay que mantenerlo, las evaluaciones de impacto se repiten, y los proveedores y sistemas siguen cambiando.
¿Qué normas se aplican en España además del RGPD?
La Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, conocida como LOPDGDD, que desarrolla y completa el Reglamento en el ordenamiento español y regula además materias propias como los derechos digitales. La autoridad de control es la Agencia Española de Protección de Datos, y algunas comunidades autónomas tienen autoridad propia para el sector público de su ámbito. Cuando planifiques plazos, cita el Reglamento; cuando planifiques trámites y formularios, mira además la LOPDGDD y lo que publique la autoridad que te corresponda.
¿Cuál es el plazo para responder a una solicitud de acceso?
El artículo 12 del Reglamento fija el plazo en un mes desde la recepción de la solicitud. Puede prorrogarse otros dos meses cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes, y el responsable debe informar al interesado de la prórroga y de sus motivos dentro del mes siguiente a la recepción. La dificultad práctica está en el detalle: cuándo empieza a correr el plazo, cómo se verifica la identidad y qué se hace con solicitudes manifiestamente infundadas o excesivas. Confirma con asesoría la posición aplicable a tu caso.
¿Qué es la regla de las 72 horas?
El artículo 33 obliga al responsable a notificar una violación de la seguridad de los datos personales a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas físicas. Si la notificación se produce después de ese plazo, debe acompañarse de los motivos del retraso. Aparte, el artículo 34 exige comunicar la violación a los propios afectados cuando sea probable que entrañe un alto riesgo para ellos. Determinar en qué momento se considera que has tenido constancia es un juicio, y por eso la plantilla ensaya la valoración y no solo la contención técnica.
¿Qué es el registro de actividades de tratamiento y por qué va primero?
Es el inventario documentado de los tratamientos que llevas a cabo, con sus fines, categorías de interesados y de datos, destinatarios, transferencias y plazos de conservación, previsto en el artículo 30 del Reglamento. Va primero porque la base jurídica, los plazos de conservación, los mecanismos de transferencia, las cláusulas informativas y las evaluaciones de impacto son todos afirmaciones sobre tratamientos concretos: sin saber cuáles son, cada una de esas piezas se escribe contra una suposición. Los programas que arrancan por una biblioteca de políticas y trabajan hacia atrás suelen tener que rehacerla cuando termina el descubrimiento.
¿Tenemos que designar un delegado de protección de datos?
Depende. El Reglamento obliga a designarlo en determinados supuestos, y la LOPDGDD enumera además una serie de entidades que deben contar con delegado de protección de datos, el DPD. Fuera de esos supuestos la designación es voluntaria, y muchas organizaciones la hacen igualmente porque concentra la responsabilidad. Si designas uno, hay que comunicarlo a la autoridad de control. Determinar si estás en un supuesto obligatorio es una pregunta jurídica concreta y merece respuesta de asesoría, no una comparación con lo que hizo otra empresa.
¿En qué se diferencia esto de ISO 27001 o SOC 2?
El RGPD es derecho y se te aplica te certifique alguien o no. ISO 27001 es una certificación acreditada frente a una norma de sistema de gestión de la seguridad de la información, y SOC 2 es un informe de atestiguamiento emitido por un auditor bajo las normas del AICPA estadounidense: ninguno de los dos es un pronunciamiento sobre cumplimiento legal. Se solapan mucho en controles de seguridad, así que la evidencia se reutiliza, pero un certificado no es una defensa. Mira el plan de certificación ISO 27001 y el calendario de cumplimiento SOC 2 si los llevas en paralelo.
¿Es gratuita?
Sí, con descarga en Excel, PowerPoint y CSV y edición online sin registro ni marca de agua. Esta plantilla es una ayuda a la planificación, no asesoramiento jurídico.