RGPD
Auditoría RGPD para organizaciones
Un diagnóstico de cómo trata datos tu organización de verdad, con un Registro de Actividades de Tratamiento construido sobre la realidad y un plan de corrección ordenado por riesgo.
Qué recibes
- 01
Registro de Actividades de Tratamiento completo y usable (art. 30 RGPD).
- 02
Informe de diagnóstico con gaps clasificados por riesgo y por obligación incumplida.
- 03
Plan de corrección priorizado con responsables y orden de ejecución.
- 04
Documentación revisada o redactada: cláusulas informativas, contratos de encargado, procedimientos de derechos y de brechas.
- 05
Informe de revisión periódica en cada ciclo de mantenimiento.
No incluye: No incluye la implantación técnica de medidas de seguridad en sistemas (configuración de servidores, cifrado, redes): revisamos su encaje jurídico y documental.; No incluye la gestión de una brecha ya producida, que se trabaja como servicio de incidente.; No incluye la emisión de certificaciones de cumplimiento: Normolex no certifica..
Cómo funciona
- 01
Analizamos
Entrevistas con las áreas y revisión de herramientas, contratos y documentación existente para reconstruir los tratamientos reales, no los teóricos.
- 02
Registramos
Construimos el Registro de Actividades de Tratamiento conforme al art. 30 RGPD: finalidades, bases jurídicas, categorías, destinatarios, transferencias y plazos.
- 03
Diagnosticamos
Cruzamos el registro con la documentación y la práctica: gaps de información, consentimientos, contratos de encargado, seguridad, derechos y brechas.
- 04
Corregimos
Plan de corrección ordenado por riesgo con documentos y procedimientos redactados o revisados, y criterios de la AEPD aplicables a cada punto.
- 05
Mantenemos
Revisión periódica de la adecuación: nuevos tratamientos, cambios de proveedores y evolución de criterios de la AEPD.
Si te aplica
Toda organización que trate datos personales —empleados, clientes, proveedores, usuarios web— está sujeta al RGPD y a la LOPDGDD, con independencia de su tamaño o sector. La auditoría es el punto de partida recomendable cuando la adecuación se hizo hace años, cuando han cambiado tratamientos, proveedores o herramientas, o cuando nunca se hizo un diagnóstico completo.
Qué necesitamos de tu organización
- Acceso a las personas responsables de RRHH, marketing, sistemas, compras y dirección.
- Documentación existente de protección de datos, aunque esté desactualizada.
- Inventario de herramientas y proveedores que tratan datos.
- Información sobre tratamientos sensibles: videovigilancia, IA, transferencias internacionales, datos de salud.
Preguntas frecuentes
Lo que suele preguntarse
- En que la auditoría parte de los tratamientos reales. Un lote de documentos genéricos describe una organización teórica; la auditoría reconstruye qué datos se tratan de verdad, con qué finalidades, herramientas y proveedores, construye el Registro de Actividades de Tratamiento del art. 30 RGPD sobre esa realidad y detecta los gaps concretos. El resultado es un plan de corrección priorizado, no una carpeta.
Fuentes: Reglamento (UE) 2016/679 · BOE-A-2018-16673 · AEPD — EIPD
Empecemos por tu caso.
Confirmamos el alcance y el precio antes de formalizar el encargo.