En breve
Treinta y una áreas documentales pasan a setenta y siete, divididas en seis familias: informar, nombrar, registrar, evaluar, reaccionar, demostrar. La página del archivo se ha rediseñado: sobre cada familia hay un mosaico que es el retrato de ese cliente, y la familia peor cubierta se promociona sola a la cabecera.
De dónde nace
Un archivo con treinta y una casillas parece completo hasta que lo usas en un caso real. Entonces adviertes que los consentimientos recogidos acaban en «Otros documentos», que el acuerdo sindical sobre videovigilancia no tiene sitio propio, y que la evaluación de impacto de las transferencias — la que acompaña a cada cláusula contractual tipo tras Schrems II — no está en ninguna parte. «Otros documentos» es la casilla donde va a morir todo lo que el diseñador no previó.
Las cuatro que más pesaban
- Decisiones automatizadas y elaboración de perfiles (art. 22). Con el scoring, los filtros de currículos y los sistemas antifraude está en todas partes, y la sanción de ochocientos veinticinco millones decidida estos días en los Países Bajos trata exactamente de esto. No tenía casilla.
- Tratamientos biométricos. Exigen una evaluación propia y acababan dentro de «Medidas de seguridad», donde nadie los busca.
- Registro de accesos y de logs. Es la primera evidencia que se pide cuando se denuncia un acceso indebido, y es también la obligación que recae en los administradores de sistemas.
- Anonimización y seudonimización. Casi siempre declarada, casi nunca documentada: es el punto donde las autoridades han desmontado más defensas en los dos últimos años.
Y después el resto
Acuerdos sindicales y autorizaciones de control a distancia — sin ellos la videovigilancia y la geolocalización son ilícitas de raíz, antes incluso del RGPD. Registro de violaciones del art. 33.5, obligación autónoma que no se agota en la gestión del incidente concreto. Recursos e independencia del DPD del art. 38, la primera pregunta de cualquier revisión del puesto. Consentimientos recogidos y revocaciones, que son la prueba que exige el art. 7.1. Y además: información a candidatos, a menores, al denunciante; administradores de sistemas; representante en la Unión; mapa de flujos; clasificación de datos; pruebas de vulnerabilidad; privacidad desde el diseño en los proyectos; plan de respuesta a incidentes; comunicaciones a los interesados del art. 34; póliza cíber; informe periódico del DPD.
Por qué se rehízo la página
Setenta y siete recuadros en cuadrícula son un muro, no una lista. Ahora las áreas están en seis familias que corresponden a las seis cosas que un responsable debe saber demostrar, y sobre cada una hay un mosaico: una tesela por área, llena si contiene documentos. No es una ilustración sacada de una biblioteca: es el retrato de ese cliente, y cambia mientras trabajas. Una foto de archivo sería idéntica para todos y no diría nada.
La familia peor cubierta no la elegimos nosotros: la elige el código, según la cobertura, y sube a la cabecera con el fondo pleno de su color y un botón que abre directamente la primera área vacía. Las otras cinco quedan monocromas a propósito. Seis colores para seis familias eran seis colores que no decían nada; el color lo usa una sola cosa por pantalla, y por eso se ve.
Algo que conviene saber antes de abrirla
En un cliente nuevo el mosaico estará casi todo vacío y las seis fichas dirán «vacío». Es honesto y es incómodo. No todas las setenta y siete áreas sirven a todos: una consulta médica y una inmobiliaria juntas usan menos de veinte. Las plantillas sectoriales existen precisamente para partir de las áreas que afectan a ese cliente en vez de todas.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
