El registro de actividades, al día.
Los plazos, contados.
El registro del artículo 30, los encargados del 28, los derechos del 15 al 22 y las brechas del 33. Cada ficha contrastada letra a letra con la norma, y cada plazo contado desde el día que entró.
En la plataforma MyGov, con cada entidad y su registro separados · También instalable en local en tu Ayuntamiento
Protección de Datos
Lo que envejece en el cajón
El registro se hizo una vez. Y sigue con los tratamientos de entonces.
Un registro de actividades que envejece en un cajón, derechos que entran por el registro general y vencen sin que nadie los cuente, brechas que no se documentan y encargados sin contrato firmado. Pasa por dos razones. Una: el RGPD no pide un documento, pide poder demostrar el cumplimiento en cualquier momento. Es la responsabilidad proactiva del artículo 5.2, y eso no se acredita con una semana de esfuerzo en marzo. Y dos: en una Administración el delegado de protección de datos es obligatorio (art. 37.1.a del RGPD, al que remite el art. 34.1 de la LO 3/2018), pero casi nunca se dedica solo a eso. Este módulo está hecho para el día a día de esa persona: contrasta, cuenta y lo deja todo escrito.
Registro de actividades (art. 30)
Cada ficha, contrastada letra a letra con el artículo 30.
Cada actividad de tratamiento se contrasta con las letras a) a g) del artículo 30.1 y lo que falte se señala por escrito. El inventario publicable del artículo 31.2 de la LO 3/2018 sale de ahí: lo incompleto no se puede publicar, y el módulo te dice exactamente qué es.
- Base jurídica del 6.1 con la norma que habilita, y categorías especiales del 9.1 con la circunstancia del 9.2 que levanta la prohibición
- Medidas de seguridad del artículo 32 con la categoría del sistema conforme al Esquema Nacional de Seguridad (RD 311/2022), seudonimización, cifrado y registro de accesos
- El registro completo, la ficha de cada actividad y la cláusula informativa del artículo 13, generados
Derechos y brechas
Un mes para los derechos. Setenta y dos horas para las brechas.
Las solicitudes de los artículos 15 a 22 llevan el plazo del 12.3 contado desde la recepción: en plazo, con preaviso o «vencido hace tantos días»; y el contestado distingue si fue en plazo o fuera de él. Las brechas llevan su propio reloj: la notificación a la autoridad, antes de setenta y dos horas, con las horas contadas.
- La ampliación de dos meses exige motivo: sin motivarla, no se guarda
- Todas las brechas se documentan, se notifiquen o no: es el artículo 33.5
- Respuesta al interesado, comunicación de la ampliación, informe de la brecha, notificación a la autoridad y comunicación a los afectados: generados
Encargados y documentos
Sin contrato del 28.3, no hay encargo que valga.
Cada encargado con su servicio, su tratamiento y su contrato. Las ocho estipulaciones del artículo 28.3 se repasan como lista de comprobación: instrucciones documentadas, confidencialidad, medidas del 32, subencargados, asistencia en derechos y brechas, supresión al terminar y auditorías. El anexo de encargo se genera con la ficha.
- Evaluaciones de impacto del artículo 35 cuando el tratamiento entraña alto riesgo
- La designación del DPD con su comunicación a la autoridad: diez días, artículo 34.3 de la LO 3/2018
- Autoridad de control sustituible si tu comunidad autónoma tiene autoridad propia
Qué incluye
La responsabilidad proactiva, por secciones.
Las secciones reales del módulo, tal y como aparecen en su menú.
Registro de actividades
Cada actividad con todo el contenido del artículo 30.1, letras a) a g), y lo que falte señalado por escrito en la propia ficha.
Encargados del tratamiento
Quién trata datos por cuenta de la entidad, con qué contrato del 28.3 y hasta cuándo, con el anexo de encargo generado.
Ejercicio de derechos
Las solicitudes de los artículos 15 a 22 con el plazo del 12.3 contado, la ampliación motivada y la respuesta generada.
Brechas de seguridad
Cada violación de seguridad documentada con su decisión y sus medidas, el reloj de las 72 horas y la notificación y la comunicación generadas.
Evaluaciones de impacto
Los análisis del artículo 35 cuando el tratamiento entraña alto riesgo, con su documento generado.
Inventario publicable
Lo que el artículo 31.2 de la LO 3/2018 obliga a publicar en el portal: solo las actividades completas, con lo pendiente señalado.
Libro de documentos
Los diez documentos del módulo reunidos en un libro: registro, fichas, cláusulas, respuestas, informes y notificaciones.
Cuadro de mando
El estado del registro, los plazos en curso y lo que reclama atención, en una pantalla.
Ajustes
Responsable, autoridad de control, persona delegada y su designación, días de preaviso y categoría ENS por defecto.
Datos para citar
Los plazos del RGPD que se cuentan en días.
Las setenta y dos horas de una brecha y el mes de un derecho de acceso son los dos plazos que más se incumplen, y casi nunca por mala fe: por no saber cuándo empezaron a contar.
Plazos de respuesta y de notificación
| Fecha o plazo | Qué hay que hacer | Norma |
|---|---|---|
| 1 mes desde la recepción | Facilitar información sobre las actuaciones realizadas a raíz de una solicitud de acceso, rectificación, supresión, limitación, portabilidad u oposición. | art. 12.3 RGPD |
| Prórroga de 2 meses más | Cabe si es necesario, habida cuenta de la complejidad y del número de solicitudes, informando al interesado dentro del primer mes y del motivo de la dilación. | art. 12.3 RGPD |
| 1 mes, si no se va a actuar | Informar al interesado sin dilación y a más tardar en un mes de los motivos de la no actuación y de su derecho a reclamar ante la autoridad de control y a la tutela judicial. | art. 12.4 RGPD |
| 72 horas | Notificación de una violación de la seguridad a la autoridad de control, sin dilación indebida y, de ser posible, en ese plazo desde que se tuvo constancia. Si se retrasa, la notificación va acompañada de los motivos. | art. 33.1 RGPD |
| Sin dilación indebida | El encargado notifica al responsable cualquier violación de la seguridad en cuanto tenga constancia de ella. | art. 33.2 RGPD |
| Sin dilación indebida | Comunicación al interesado cuando la violación entrañe un alto riesgo para sus derechos y libertades. | art. 34.1 RGPD |
| Siempre, aunque no se notifique | Documentar cualquier violación de seguridad con sus hechos, efectos y medidas correctoras, de modo que la autoridad de control pueda verificar el cumplimiento. | art. 33.5 RGPD |
| 10 días desde la designación | Comunicar a la Agencia Española de Protección de Datos, o a la autoridad autonómica, la designación, el nombramiento y el cese del delegado de protección de datos. | art. 34.3 LO 3/2018 |
| Permanente | Mantener el registro de actividades de tratamiento y hacer público un inventario de esas actividades, accesible por medios electrónicos, con la información del art. 30 del RGPD y su base legal. | art. 30 RGPD y art. 31 LO 3/2018 |
El módulo cuenta esos plazos desde la fecha de entrada y avisa antes de que venzan, y compone el registro del art. 30 contrastando campo a campo lo que la norma pide. No notifica por la entidad a la Agencia ni sustituye al delegado de protección de datos.
Dos maneras de tenerlo
Con el resto de la entidad, o tú solo con el registro.
El módulo es el mismo: cambia dónde vive y a cuántas entidades sirve.
El registro, junto al resto de la entidad
Entras con el navegador y trabajas con los usuarios y permisos de tu entidad. Si llevas la protección de datos de varias entidades, y pasa con los DPD compartidos y las agrupaciones, cada una tiene su registro, sus plazos y sus documentos separados en la misma plataforma.
- Sin nada que instalar ni mantener
- Multientidad: cada entidad con su registro y su libro
- Mejoras continuas, sin migraciones por tu parte
El registro en tu equipo
Quien vigila el cumplimiento a veces prefiere no depender de nadie. El módulo se instala en un equipo del Ayuntamiento y funciona por sí solo: el mismo registro, los mismos plazos y los mismos documentos, con los datos en tu red.
- Tus datos no salen de tu red
- El mismo módulo y los mismos documentos que en la nube
- El paso a la plataforma, cuando quieras: los datos se llevan
Lo que sigue siendo tuyo
Lo que decide el responsable, no el módulo.
Tres cosas que el módulo no decide por ti.
No te da la conformidad con el ENS
El módulo anota la categoría del sistema y las medidas, y eso es lo que el artículo 30 pide del registro. Pero la conformidad con el RD 311/2022 es un expediente del Ayuntamiento sobre su sistema: análisis de riesgos, declaración de aplicabilidad y auditoría al menos cada dos años en categorías media y alta. No se hereda de ningún proveedor. La situación real de MyGov está escrita, sin rodeos, en Calidad y seguridad.
No presenta nada por ti
La notificación de una brecha se presenta por la sede electrónica de la autoridad de control, y la designación del delegado también. El módulo cuenta las setenta y dos horas, redacta la notificación con lo que exige el artículo 33.3 y deja constancia de la decisión; el envío y el acuse de la sede son tuyos.
No sustituye al delegado
La base jurídica de cada tratamiento, el plazo de conservación, la decisión de notificar una brecha o de ampliar el plazo de un derecho son juicio del responsable y de la persona delegada. Lo que hace el módulo es comprobar que consten, decir con su letra lo que falta y no dejar guardar una ampliación sin motivar.
Preguntas frecuentes
Lo que pregunta quien lleva la protección de datos.
Genera el registro completo con todas las fichas, con el contenido de las letras a) a g) del artículo 30.1, y también la ficha suelta de cada actividad. Son borradores serios para revisar y aprobar: el criterio sobre bases jurídicas, plazos de conservación y medidas sigue siendo del responsable y de la persona delegada.
Un mes desde la fecha de recepción, como dice el artículo 12.3. En pantalla se ve si está en plazo, si se acerca el vencimiento (con el preaviso que tú fijes) o si venció, y hace cuántos días. La ampliación de otros dos meses existe, pero el módulo obliga a motivarla para poder guardarla, y genera la comunicación al interesado, que debe salir dentro del primer mes.
Se documenta igual, con su decisión y sus medidas: es lo que exige el artículo 33.5, y es lo que la autoridad de control pedirá ver. Si procede notificar, el módulo cuenta las setenta y dos horas desde que se tiene constancia y genera la notificación a la autoridad y, cuando toque, la comunicación a los interesados del artículo 34.
Sí. La sección de inventario publicable recoge las actividades del registro que se hacen públicas conforme al artículo 31.2, genera el documento y señala qué fichas no se pueden publicar todavía porque les falta contenido del artículo 30, diciendo exactamente cuál.
Sí. La autoridad de control es un ajuste: viene puesta la Agencia Española de Protección de Datos y se sustituye si tu comunidad autónoma cuenta con autoridad propia. Los documentos que la citan usan la que tengas configurada.
Un mes desde la recepción de la solicitud. El art. 12.3 del RGPD permite prorrogarlo otros dos meses si es necesario por la complejidad o el número de solicitudes, pero hay que informar al interesado dentro del primer mes y decirle el motivo de la dilación. Y si se decide no actuar, también hay un mes para comunicárselo con sus motivos y con la indicación de que puede reclamar ante la autoridad de control y acudir a la vía judicial (art. 12.4). El plazo es el mismo para rectificación, supresión, limitación, portabilidad y oposición.
Sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a que se tenga constancia de ella (art. 33.1 del RGPD). Si se notifica más tarde, la notificación tiene que ir acompañada de los motivos del retraso. Si la brecha entraña un alto riesgo para los derechos y libertades, hay además que comunicárselo a los interesados sin dilación indebida (art. 34.1). Y toda violación se documenta aunque no se notifique, con sus hechos, sus efectos y las medidas correctoras, para que la autoridad de control pueda verificar el cumplimiento (art. 33.5).
Se usa con
Los módulos que este necesita al lado.
Comparten entidad, usuarios y permisos: el dato se escribe una vez y lo leen los demás. Y también funcionan sueltos.
Integraciones
Cada cesión de datos a otro sistema, con su base jurídica y su registro.
Abrir Integraciones ›AMPARA · Servicios Sociales
Los datos de categoría especial de Servicios Sociales, que son los que más cuestan de justificar.
Abrir AMPARA · Servicios Sociales ›Escuelas Municipales
Los menores, la tutela y las imágenes, con el consentimiento que exige la ley.
Abrir Escuelas Municipales ›El cumplimiento, escrito y con fecha.
Una ficha del artículo 30 a la que le falta una letra, un derecho contando su mes y una brecha con su informe.
La demostración se hace sobre una entidad de ejemplo, sin datos reales.