Su cliente le ha enviado un cuestionario sobre la PDPL. Estos son los documentos que espera

Para muchas pequeñas empresas de los EAU, el primer contacto con la PDPL no es una autoridad reguladora, sino un cuestionario de compras de un cliente más grande. Las preguntas varían, pero giran en torno a un pequeño conjunto de documentos. Tenerlos preparados convierte una semana de idas y venidas en una tarde.

Las preguntas y el documento que responde a cada una

• «¿Mantiene un registro de actividades de tratamiento?» El RAT que exigen los artículos 7 y 8: qué datos, con qué finalidad, con qué base jurídica, con quién se comparten y durante cuánto tiempo se conservan.
• «Facilítenos su aviso de privacidad.» Un aviso redactado para la PDPL, que mencione la Oficina de Datos de los EAU y las bases jurídicas correctas.
• «¿Quién es responsable de la protección de datos?» Un DPD designado cuando el artículo 10 lo exija y, en otro caso, un responsable de privacidad designado.
• «¿Utiliza subencargados? ¿Dónde se almacenan los datos?» Su lista de proveedores y sus regiones de alojamiento, y los contratos que los vinculan (artículo 8).
• «¿Cómo gestionaría una violación de la seguridad de los datos personales?» Un procedimiento escrito ante violaciones de seguridad que cubra la notificación del artículo 9, idealmente con pruebas de que se ha ensayado.
• «¿Qué medidas de seguridad aplica?» MFA, cifrado, control de accesos, copias de seguridad, registros: las medidas técnicas y organizativas del artículo 20.
• «¿Cómo gestiona las solicitudes de los interesados?» Un procedimiento para el acceso, la rectificación, la supresión y la oposición (artículos 13 a 18).

Lo que realmente buscan los revisores

Coherencia. El aviso de privacidad, el RAT y la lista de proveedores deben contar la misma historia. Un aviso que no menciona transferencias al extranjero, junto a una lista de proveedores llena de herramientas SaaS estadounidenses, es el tipo de contradicción que provoca preguntas adicionales.

Concreción antes que fórmulas genéricas. «Nos tomamos la seguridad muy en serio» no aporta nada. «La MFA es obligatoria en el correo electrónico y en las cuentas de administrador; los portátiles usan cifrado de disco completo» responde a la pregunta.

Reunir el conjunto de documentos

Nuestro kit PDPL genera todos estos documentos a partir de un único cuestionario, ya coherentes entre sí porque se generan a partir de las mismas respuestas: informe de deficiencias, aviso de privacidad, RAT, procedimientos de solicitudes y de violaciones de seguridad, un contrato de encargo del tratamiento para proveedores, una EIPD y un calendario de conservación.