RGPD aplicado a tecnologías de la información

El mapa del RGPD para TI

Datos personales, tratamientos y responsabilidades traducidos a sistemas, flujos y decisiones técnicas.

1. Datos, tratamientos y roles sin jergaReconoce cuándo un sistema trata datos personales y quién decide realmente el propósito y los medios.Bloqueada

Principios, finalidad y legitimación

Las reglas que convierten una necesidad de negocio en requisitos verificables para el sistema.

1. De los principios a los requisitos técnicosEvita recopilar por inercia y conecta cada dato con una finalidad, una base y un plazo.Bloqueada

Inventario y ciclo de vida del dato

Del Registro de Actividades de Tratamiento al mapa técnico que permite controlar cada copia.

1. Mapear el dato de extremo a extremoConstruye un inventario útil para desarrollo, operaciones, seguridad, privacidad y respuesta a incidentes.Bloqueada

Privacidad desde el diseño y por defecto

Incorporar garantías antes de programar y elegir valores iniciales que protejan sin exigir acciones extra.

1. Privacidad como requisito de arquitecturaIntegra protección de datos en historias, decisiones y pruebas desde la primera fase del producto.Bloqueada

Minimización en ingeniería y pruebas

Reducir campos, precisión, identificadores y copias en producción, analítica y entornos no productivos.

1. Recoger menos y exponer menosAplica minimización al modelo, las APIs, la telemetría y los datos utilizados para desarrollar.Bloqueada

Identidades, permisos y administración

Controlar quién accede, a qué dato, con qué propósito y durante cuánto tiempo.

1. Acceso demostrable y mínimoDiseña altas, roles, privilegios, soporte y bajas para reducir accesos indebidos.Bloqueada

Cifrado, seudonimización y anonimización

Elegir técnicas de protección entendiendo qué resuelven, qué secretos crean y cuándo sigue aplicando el RGPD.

1. Proteger identificadores y clavesDistingue cifrado, hash, tokenización, seudonimización y anonimización sin promesas falsas.Bloqueada

Registros, conservación y copias

Observar y recuperar sistemas sin crear un archivo histórico ilimitado de personas.

1. Evidencia útil con fecha de salidaDiseña logs, retención, borrado y restauración como un único ciclo operativo.Bloqueada

Proveedores, nube y transferencias

Controlar la cadena de tratamiento aunque la infraestructura y el soporte sean externos.

1. Controlar la cadena del datoEvalúa encargados, subencargados, ubicaciones, accesos remotos y el final del servicio.Bloqueada

Derechos en los sistemas

Convertir una solicitud humana en un proceso seguro, completo, comprensible y demostrable.

1. Operar acceso, rectificación y supresiónOrquesta derechos entre aplicaciones y proveedores sin revelar datos a la persona equivocada.Bloqueada

Riesgo para las personas y EIPD

Evaluar consecuencias sobre derechos y libertades antes de desplegar tratamientos de alto riesgo.

1. Riesgo para personas y evaluación de impactoDecide cuándo un cambio necesita una EIPD y aporta evidencia técnica útil.Bloqueada

Brechas de datos y respuesta

Detectar, contener, evaluar y comunicar incidentes con decisiones trazables desde el primer aviso.

1. Responder a una brecha de datos personalesCoordina seguridad, privacidad, proveedores y comunicación bajo presión y con evidencia suficiente.Bloqueada

Evaluación final

Diez situaciones para demostrar que sabes trasladar el RGPD a sistemas y operaciones.