Implementar la normativa de protección de datos requiere inventarios, políticas, contratos, análisis de riesgos, atención de derechos y gestión de incidentes. Muchas compañías contratan consultores o proveedores externos para desarrollar estas tareas. Eso puede ser eficiente, pero la empresa responsable del tratamiento no deja de responder por sus decisiones.
Qué puede externalizarse
Un proveedor puede apoyar en:
- diagnóstico;
- inventario de tratamientos;
- políticas;
- cláusulas;
- contratos con encargados;
- evaluación de riesgos;
- capacitación;
- gestión de derechos;
- incidentes;
- y auditorías.
También puede prestarse un servicio externo de delegado de protección de datos cuando la normativa y la situación de la organización lo permitan.
Responsable y encargado
Cuando un proveedor procesa datos por instrucciones de la empresa, debe existir un contrato que regule:
- objeto;
- duración;
- categorías de datos;
- finalidades;
- seguridad;
- confidencialidad;
- subcontratación;
- incidentes;
- devolución;
- y eliminación.
El proveedor no debería utilizar la información para finalidades propias no autorizadas.
No todo consultor es encargado
Un abogado que recibe información limitada para emitir un criterio puede tener una posición distinta de una empresa que almacena permanentemente toda la base de clientes.
La función debe analizarse conforme a la realidad del tratamiento.
Transferencias internacionales
Si el proveedor utiliza servidores, plataformas o subcontratistas fuera de Ecuador, deben revisarse los flujos internacionales y las garantías aplicables.
Evidencia
La empresa debe conservar:
- contratos;
- matrices;
- políticas aprobadas;
- capacitaciones;
- evaluaciones;
- registros de incidentes;
- y seguimiento de medidas.
Comprar documentos genéricos no equivale a implementar cumplimiento.
En TempoLegal brindamos outsourcing de cumplimiento en protección de datos, elaboración contractual, implementación de políticas, capacitación y soporte continuo adaptado a la operación real de cada empresa.