• Auditoría de protección de datos

    Revisamos cómo trata su empresa los datos personales, qué incumple y qué riesgo tiene, y le entregamos un plan de acción priorizado.


Auditoría RGPD que mide riesgos reales, no papeles. Una auditoría de protección de datos revisa si su empresa cumple el RGPD y la LOPDGDD en la práctica: qué datos trata, con qué base jurídica, qué proveedores acceden a ellos y si las medidas de seguridad funcionan. El RGPD no exige una auditoría con ese nombre, pero sí verificar y evaluar de forma regular la eficacia de las medidas (art. 32.1.d) y revisarlas cuando sea necesario (art. 24.1). Por eso, la auditoría es la forma más directa de demostrar el cumplimiento.

¿Necesita una auditoría?

Si se reconoce en alguna de estas situaciones, la respuesta es sí:

  • Hace años que adaptó la empresa al RGPD y nadie ha revisado si la documentación sigue siendo válida.
  • Un cliente grande o la Administración le pide acreditar su cumplimiento en protección de datos.
  • Ha sufrido una brecha o ha recibido una reclamación ante la AEPD.
  • Ha incorporado herramientas nuevas, como un CRM, un software de RR. HH. o IA, sin revisarlas.
  • No sabe qué proveedores acceden a sus datos ni si tienen contrato de encargado.
  • Está preparando la certificación ISO 27001, ISO 27701 o el Esquema Nacional de Seguridad.


¿Qué exige la normativa?

En primer lugar, el RGPD obliga a verificar y revisar las medidas de forma periódica. Además, algunas normas exigen auditorías expresas. Estas son las principales:

ObligaciónNormaDesde
Verificar y evaluar de forma regular la eficacia de las medidas de seguridadRGPD, art. 32.1.d)25 de mayo de 2018
Revisar y actualizar las medidas para poder demostrar el cumplimientoRGPD, art. 24.125 de mayo de 2018
Permitir y contribuir a las auditorías del responsable cuando se actúa como encargadoRGPD, art. 28.3.h)25 de mayo de 2018
Supervisión del cumplimiento por el delegado de protección de datos, incluidas las auditoríasRGPD, art. 39.1.b)25 de mayo de 2018
Revisar la evaluación de impacto cuando cambia el riesgo del tratamientoRGPD, art. 35.1125 de mayo de 2018
Auditoría de la seguridad en el sector público y sus proveedoresReal Decreto 311/2022 (Esquema Nacional de Seguridad)Según el caso
Certificación del sistema de gestión de la seguridad de la informaciónISO/IEC 27001:2022 (voluntaria)Voluntaria

Por tanto, auditar no es un trámite: es la prueba de que la empresa revisa sus medidas y corrige lo que falla.


Qué revisamos en una auditoría de protección de datos


Auditoría RGPD y LOPDGDD

Revisamos el registro de actividades, las bases jurídicas, las cláusulas informativas, los plazos de conservación y la gestión de derechos.


Medidas de seguridad

Comprobamos las medidas técnicas y organizativas del artículo 32 y su eficacia real: accesos, copias, cifrado y formación. Si tiene delegado de protección de datos, trabajamos con él.


Evaluaciones de impacto

Analizamos qué tratamientos necesitan evaluación de impacto según el artículo 35 y la lista de la AEPD, y revisamos las que ya existen.


Webs y cookies

Revisamos los formularios, la política de privacidad y el banner de cookies de su web. Si hace falta, lo corregimos con nuestro servicio de adaptación web y app.


Proveedores y encargados

Comprobamos que cada proveedor con acceso a datos tiene firmado el contrato de encargado y ofrece garantías suficientes, incluidas las transferencias internacionales.


Preparación ISO 27001 e ISO 27701

Hacemos el análisis de brechas y la auditoría interna previa a la certificación, que realiza después una entidad de certificación acreditada.


Esquema Nacional de Seguridad

Si trabaja para la Administración, revisamos los requisitos del ENS que le afectan y preparamos la auditoría de conformidad.


Seguimiento

Por otro lado, repetimos la revisión cuando hay cambios relevantes: un sistema nuevo, una brecha o un cambio de proveedor.


Qué se lleva su empresa

Informe de auditoríacon los hallazgos clasificados por riesgo y la norma afectada en cada caso.

Plan de acciónpriorizado, con responsables y plazos.

Revisión documental del registro de actividades, cláusulas, contratos y evaluaciones de impacto.

Pruebas de medidas técnicas y organizativas, no solo de documentos.

Evidencias ordenadas para acreditar el cumplimiento ante un cliente, una auditoría externa o la AEPD.

Presentación a la dirección con las conclusiones y las decisiones que dependen de ella.


Cómo trabajamos

Aplicamos a la auditoría nuestro protocolo de trabajo en cuatro fases.


1. Análisis

Primero recopilamos la documentación: registro de actividades, cláusulas, contratos de encargado, evaluaciones de impacto y políticas.


2. Planificamos

Después entrevistamos a los responsables de cada área y definimos el alcance y las pruebas.


3. Adecuación

Luego verificamos las medidas en la práctica y elaboramos el informe con los hallazgos y su prioridad.


4. Éxito

Finalmente, presentamos el informe a la dirección y acompañamos la corrección de las deficiencias.


Para quién trabajamos

  • Empresas que quieren saber dónde están sus riesgos antes de una reclamación o una inspección.
  • Proveedores de grandes clientes que deben superar auditorías de sus clientes o del sector público.
  • Centros educativos con datos de alumnos y familias, plataformas educativas e imágenes.
  • Empresas en certificación ISO 27001, ISO 27701 o ENS que necesitan una auditoría interna previa.

Por qué Auratech

  • Abogados certificados por AENOR. Contamos con abogados certificados por AENOR en ISO 27001, la norma de referencia en seguridad de la información.
  • Visión jurídica y técnica. Revisamos tanto el RGPD y la LOPDGDD como las medidas de seguridad reales, no solo los documentos.
  • Experiencia como DPO. Somos delegados de protección de datos en activo, por eso sabemos qué revisa la AEPD cuando investiga una reclamación.
  • Informes que se entienden. Además, cada hallazgo indica el riesgo, la norma y la solución, para que la dirección pueda decidir.

Preguntas frecuentes

El RGPD no exige una auditoría con ese nombre, pero sí verificar y evaluar de forma regular la eficacia de las medidas de seguridad (art. 32.1.d) y revisarlas cuando sea necesario (art. 24.1). En la práctica, la auditoría es la forma más directa de demostrarlo.

La norma no fija un plazo. Lo habitual es una revisión anual y otra cuando hay cambios relevantes, como un sistema nuevo, una brecha o un cambio de proveedor.

La auditoría RGPD revisa el cumplimiento de la normativa de protección de datos. En cambio, la ISO 27001 es una norma voluntaria de gestión de la seguridad de la información. Se complementan, pero la certificación ISO no equivale a cumplir el RGPD.

Una entidad de certificación acreditada. Nosotros le preparamos y hacemos la auditoría interna previa, pero quien certifica no puede ser quien le ha asesorado, para garantizar su independencia.

Sí, como prueba de responsabilidad proactiva: demuestra que la empresa revisa sus medidas y corrige lo que falla. No evita una sanción por sí sola, pero la AEPD tiene en cuenta las medidas adoptadas al graduarla (art. 83.2 RGPD).

Sí. El encargado del tratamiento debe permitir y contribuir a las auditorías e inspecciones del responsable (art. 28.3.h RGPD). Por eso conviene que el contrato fije cómo y con qué frecuencia.


Auratech | Legal Solutions

¡Contacta con nosotros!

Rellena los campos