RGPD: 5 comprobaciones antes de enviar datos personales

Un escaneo de un documento de identidad, un expediente de RR. HH., una lista de clientes: en cuanto un archivo contiene datos que permiten identificar a una persona, su envío es un tratamiento de datos personales en el sentido del RGPD, y la herramienta utilizada se convierte en un eslabón de esa cadena. Estas son las cinco comprobaciones que debe hacer antes de pulsar « enviar ».

¿Le concierne? (spoiler: sí)

El RGPD no se aplica solo a las grandes plataformas: el despacho contable que recibe nóminas, el fotógrafo que entrega retratos, la pyme que transmite un expediente de RR. HH.: todos tratan datos personales. La responsabilidad no se delega en la herramienta, pero la elección de la herramienta le compromete.

1. Dónde se alojan los datos

Primera pregunta que hacerle a su servicio de transferencia: ¿dónde se almacenan los archivos? Un alojamiento dentro del Espacio Económico Europeo simplifica radicalmente el cumplimiento; una transferencia fuera del EEE exige garantías adicionales (decisión de adecuación, cláusulas contractuales tipo). TransferNow aloja en Europa, con elección de la región según el plan.

2. El marco contractual (DPA)

Si actúa por cuenta de una persona jurídica, el servicio de transferencia es su encargado del tratamiento en el sentido del artículo 28: un acuerdo de tratamiento de datos (DPA) debe regular la relación. Compruebe que existe y que es accesible: es un documento que su DPO le pedirá. El nuestro es público, enlazado desde nuestra política de privacidad.

3. El plazo de conservación

El RGPD exige no conservar los datos más tiempo del necesario. Traducido a la transferencia de archivos: un enlace que caduca es una ventaja de cumplimiento. Privilegie una duración adaptada a la necesidad real —7 días suelen bastar— y un servicio que permita desactivar el enlace en cuanto la transmisión esté hecha.

4. La trazabilidad

En caso de pregunta —de un cliente, de una autoridad— debe poder decir quién tuvo acceso a los datos. La notificación nominativa con cada descarga proporciona esa traza sin ningún procedimiento adicional: quién recuperó el archivo y cuándo.

5. La minimización

El principio más simple y el más olvidado: envíe solo lo necesario. El expediente completo « por si acaso » multiplica la exposición. Antes de cada envío sensible, una pregunta: ¿este destinatario necesita todos estos archivos?

Estos cinco puntos no sustituyen a un asesoramiento jurídico, pero cubren lo que un DPO comprobará primero. Para la parte técnica, nuestra checklist de seguridad complementa esta.