TL;DR
En el registro de actividades: catálogo de 35 medidas del art. 32 para marcar y ampliar, 26 tipos de datos bajo las seis categorías jurídicas, y país de destino elegido de una lista que declara su situación conforme al Capítulo V. Ninguna de las tres decide por usted.
El problema: la misma frase, en cada tratamiento
Quien lleva un registro del art. 30 para varios responsables conoce la escena: el campo de medidas de seguridad es una casilla vacía, y dentro se reescribe cada vez lo mismo. Control de accesos, copias, antivirus. Y otra vez con el siguiente tratamiento. No es solo cuestión de tiempo: una medida escrita con prisa se escribe mal, y en una inspección una lista dispar entre tratamientos del mismo responsable es lo primero que se nota.
Un catálogo que propone, no que cierra
Las 35 medidas se agrupan en nueve bloques anclados al artículo que las nombra: control de accesos, cifrado y seudonimización, copias de seguridad, continuidad, protección de red, dispositivos, medidas organizativas, registro, verificación y supresión. Se marcan, aparecen como etiquetas en la ficha, y el campo de texto permanece al lado para lo que difiera en el caso concreto. Ningún registro ya cumplimentado pierde una línea.
- Las sugerencias iniciales salen del propio tratamiento: las categorías especiales hacen emerger el cifrado en reposo, el registro de accesos y la autenticación fuerte; una transferencia fuera de la UE trae las medidas complementarias posteriores a Schrems II.
- Entre las voces está la verificación periódica de la eficacia, que exige el art. 32.1.d) y que casi ningún registro recoge.
- La exportación CSV une las medidas marcadas y el texto libre: quien abre el archivo ve lo mismo que en pantalla.
Categorías de datos: las seis jurídicas se quedan, debajo llega el detalle
Las seis casillas —datos comunes, categorías especiales, condenas, menores, biométricos, genéticos— dicen a qué título se tratan los datos, y sirven para anclar la base del art. 6 y la condición del art. 9.2. No dicen qué datos. Ahora bajo cada una hay 26 tipos descriptivos, más un campo para los propios. Agiliza la cumplimentación, pero sobre todo ayuda a responder al interesado que pregunta qué datos le conciernen, como exige el art. 15.1.b).
«Estados Unidos es adecuado» es la frase que más daño hace
En la ficha de la transferencia —y en la del encargado— el país ya no es una casilla de texto. Se elige de una lista agrupada por situación, y debajo aparece lo que implica. El caso que importa es la adecuación parcial: la decisión sobre Estados Unidos cubre solo a las organizaciones certificadas en el Data Privacy Framework, para los tratamientos declarados; la de Canadá solo a las organizaciones comerciales sujetas a la PIPEDA. Fuera de ahí hace falta un instrumento del art. 46 con evaluación de impacto de la transferencia.
Lo que el programa no hace
No determina si las medidas son adecuadas: la adecuación depende del riesgo, del estado de la técnica y de los costes (art. 32.1), y esa valoración corresponde a quien firma. No deduce la calificación jurídica de los datos: si indica datos de salud sin marcar «categorías especiales», el formulario lo señala y se detiene ahí. Y no sustituye la lista de la Comisión sobre decisiones de adecuación, que sigue siendo la fuente a consultar: los casos en evolución —Reino Unido y Estados Unidos— llevan una marca que lo recuerda.
Los tres cambios nacen de un comentario recibido durante una prueba gratuita. Si usa la plataforma y algo le frena, decirlo sirve: así se mueven las cosas.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
