Auditoria de protecció de dades (RGPD): què revisa, si és obligatòria i cada quant fer-la

Una auditoria de protecció de dades és la manera de comprovar, amb mètode, si la teva empresa compleix de debò el RGPD i la LOPDGDD: no només si té els documents, sinó si el que diuen aquests documents és el que passa cada dia amb les dades de clients, treballadors i proveïdors. En aquesta guia t’expliquem què revisa una auditoria ben feta, si és obligatòria, cada quant convé fer-la i quin és l’error més habitual que veiem a les empreses.

Què és una auditoria de protecció de dades?

És una revisió ordenada de com tracta la teva empresa les dades personals i de si aquest tractament compleix la normativa. El punt de partida és en el mateix RGPD:

• Responsabilitat proactiva (art. 5.2): no n’hi ha prou de complir; l’empresa ha de poder demostrar-ho.
• Mesures revisades i actualitzades (art. 24): les mesures tècniques i organitzatives s’han de revisar i actualitzar quan calgui.
• Verificació periòdica de la seguretat (art. 32.1.d): el RGPD demana un procés de verificació, avaluació i valoració regulars de l’eficàcia d’aquestes mesures.

L’auditoria és precisament aquesta verificació: una fotografia real del compliment, amb els riscos detectats i un pla per corregir-los.

És obligatòria l’auditoria RGPD?

El RGPD no fa servir literalment l’expressió «auditoria obligatòria», però exigeix poder demostrar el compliment de manera contínua (arts. 5 i 24) i verificar regularment les mesures de seguretat (art. 32). A la pràctica, sense un procés d’auditoria o revisió periòdica és molt difícil acreditar aquest compliment davant d’una inspecció de l’AEPD o després d’una bretxa de seguretat.

A més, si la teva empresa té Delegat de Protecció de Dades (DPO), entre les seves funcions hi ha supervisar el compliment, incloses les auditories corresponents (art. 39 del RGPD). I si treballes amb el sector públic i has de complir l’Esquema Nacional de Seguretat, aquí sí que hi ha auditories periòdiques obligatòries per als sistemes de categoria mitjana i alta.

Què revisa una auditoria de protecció de dades ben feta

La part legal i documental

• Registre d’activitats de tractament: que reflecteixi els tractaments reals, no els d’una plantilla.
• Bases jurídiques i consentiments: per què tractes cada dada i si ho pots justificar.
• Informació als interessats: clàusules en formularis, web, contractes, currículums i videovigilància.
• Contractes amb encarregats del tractament: gestoria, informàtica, núvol, nòmines, manteniment…
• Atenció de drets: com respons a una sol·licitud d’accés, supressió o oposició, i en quin termini.
• Anàlisi de riscos i avaluacions d’impacte: quan el tractament ho requereix (art. 35 del RGPD).
• Gestió de bretxes: si saps detectar-les, registrar-les i notificar-les a l’AEPD en 72 hores quan correspongui.
• Formació del personal: si el teu equip sap què pot fer i què no amb les dades.

La part tècnica

Aquí és on fallen moltes auditories. No cal una auditoria tècnica profunda tipus ISO 27001, però sí revisar l’essencial:

• Inventari de sistemes i dades: on es guarden les dades i qui les gestiona.
• Còpies de seguretat: si se’n fan, si són fora de l’entorn productiu i si s’ha provat de restaurar-les.
• Accessos i contrasenyes: doble factor, permisos ajustats a cada lloc de treball i baixes d’usuaris al dia.
• Traçabilitat: si pots saber qui ha accedit a una dada i quan.
• Dispositius i fuites d’informació: USB, portàtils, mòbils, correu i eines de prevenció de fuita de dades (DLP).
• Actualitzacions i antivirus: equips i servidors al dia i protegits.

L’error més freqüent: una auditoria que només revisa papers

Moltes auditories RGPD es queden en una revisió documental: tens les clàusules? El contracte amb l’encarregat? El registre d’activitats? Perfecte, fins l’any que ve.

El problema és que el RGPD també exigeix mesures tècniques i organitzatives adequades. Si ningú ha comprovat si les teves còpies de seguretat funcionen, si els accessos tenen doble factor o si els ordinadors estan actualitzats, la teva empresa pot estar en risc encara que tingui tots els documents signats. Alguns exemples que veiem sovint:

• Un empleat accedeix a dades sensibles des de casa sense cap mesura de seguretat.
• L’ERP està exposat a internet sense tallafocs ni control d’accessos.
• Algú s’emporta una base de dades de clients en un USB sense xifrar.

Per això una auditoria RGPD completa combina sempre la part legal i la tècnica. Si vols anar més enllà en la part tècnica, la complementem amb una auditoria de ciberseguretat.

Cada quant s’ha de fer una auditoria de protecció de dades?

La normativa no fixa una periodicitat concreta. El més raonable és revisar el compliment com a mínim un cop l’any i, a més, sempre que hi hagi canvis rellevants:

• Nou software, ERP, CRM o serveis al núvol.
• Creixement de plantilla o obertura de nous centres.
• Nous serveis, campanyes de màrqueting o tractaments de dades.
• Instal·lació de videovigilància, control horari o geolocalització.
• Una bretxa de seguretat o una reclamació d’un client o treballador.

La teva empresa necessita una auditoria ara?

Fes-te aquestes preguntes:

1. Fa més d’un any que ningú revisa el vostre compliment?
2. Heu canviat de software, eines o manera de treballar?
3. Heu crescut en personal, centres o serveis?
4. Tens clar qui accedeix a quines dades?
5. Saps si les còpies de seguretat s’estan fent bé?

Si alguna resposta és «no ho sé» o «no n’estic segur», és un bon moment per fer una auditoria.

Què t’hi jugues si no revises el compliment

No verificar les mesures de seguretat pot considerar-se un incompliment de l’article 32 i del principi de responsabilitat proactiva. El RGPD preveu multes de fins a 10 milions d’euros o el 2 % de la facturació anual per a aquest tipus d’infraccions (art. 83.4), i de fins a 20 milions o el 4 % per a les més greus, com ara tractar dades sense base legal o no atendre els drets de les persones (art. 83.5). L’AEPD gradua la quantia segons el cas, i en pimes les sancions habituals van d’uns pocs milers a desenes de milers d’euros.

Però la multa no és l’únic cost: una bretxa de dades suposa aturar l’activitat, avisar clients afectats i donar explicacions. Una auditoria a temps detecta la majoria d’aquests problemes abans que arribin a aquest punt.

Com fem les auditories de protecció de dades a Edorteam

Cuidem les dades de les empreses des del 1992, i les nostres auditories revisen el que de debò importa:

• Equip jurídic i tècnic: un consultor assignat, un advocat especialista i el suport del nostre departament de ciberseguretat.
• Revisió dels processos reals: com s’utilitzen les dades, qui hi accedeix i amb quins dispositius. Si cal, et visitem presencialment a qualsevol punt d’Espanya.
• Informe clar: riscos prioritzats i propostes concretes, no normativa copiada.
• Seguiment anual: no et deixem amb l’informe; acompanyem la correcció i actualitzem el compliment cada any.

A més, estem certificats en ISO 27001 i en l’Esquema Nacional de Seguretat. L’auditoria està inclosa en els nostres plans de consultoria de protecció de dades, que comencen a 24 €/mes + IVA per a microempreses.

Demana el teu diagnòstic gratuït i et direm en quin punt és la teva empresa.

Preguntes freqüents

És obligatòria per llei una auditoria de protecció de dades?

El RGPD no fa servir literalment l’expressió «auditoria obligatòria», però exigeix poder demostrar el compliment de manera contínua (arts. 5 i 24). A la pràctica, sense un procés d’auditoria o revisió periòdica és molt difícil acreditar aquest compliment davant d’una inspecció.

Quina diferència hi ha entre una auditoria de protecció de dades i una auditoria de seguretat informàtica?

L’auditoria de protecció de dades se centra en el compliment legal (bases jurídiques, consentiments, registre d’activitats, contractes amb proveïdors). La de seguretat informàtica avalua la infraestructura tècnica (vulnerabilitats, configuració de xarxa, accessos). Moltes empreses necessiten ambdues i, a la pràctica, solen fer-se de forma conjunta perquè es retroalimenten.

Què passa si mai he fet una auditoria i porto anys operant?

És més habitual del que sembla. Si ja tens proveïdor de protecció de dades però no es preocupa de fer com a mínim una actualització anual per posar al dia els teus protocols, és millor buscar-ne un altre. El recomanable és comptar amb un seguiment anual que identifiqui els nous riscos que poden afectar la teva empresa a mesura que creix i canvia la normativa, en comptes d’esperar que una inspecció o una bretxa de seguretat obligui a actuar de cop.

Ja vaig fer una auditoria, però era només documental. Em serveix?

Tenir documents no equival a estar protegit. Si ningú et va preguntar per les teves còpies de seguretat, les teves eines digitals o qui accedeix a què, probablement tinguis un informe bonic però incomplet. Convé completar-lo amb la revisió tècnica.