Autodiagnosis de Cumplimiento de Obligaciones Legales en Protección de Datos

AUTODIAGNOSIS DE CUMPLIMIENTO DE OBLIGACIONES LEGALES

Paso 1 de 4

25%

¿Conoce sus obligaciones legales en protección de datos? Realice su propio autodiagnóstico a través de nuestro cuestionario online:

Datos personales(Obligatorio)

Nombre Apellidos

Organización(Obligatorio)

Correo electrónico(Obligatorio)

Teléfono

Hidden

Fecha

MM barra DD barra AAAA

Aviso legal(Obligatorio)

He leído y acepto la política de privacidad de Garante Privacy.

CAPTCHA

1. REGISTRO DE LAS ACTIVIDADES DE TRATAMIENTO

La organización cuenta con la existencia de un registro de las actividades de tratamiento elaborado por el responsable del tratamiento y su contenido es suficiente(Obligatorio)

CUMPLE

NO CUMPLE

1. Observaciones

Inventario de actividades(Obligatorio)

El responsable ha hecho público un inventario de sus actividades de tratamiento accesible por medios electrónicos, por tratarse de un sujeto de los enumerados en el artículo 77.1 de la LOPDGDD.

El responsable no ha hecho público un inventario de sus actividades de tratamiento o bien su contenido es insuficiente, o no está accesible por medios electrónicos, al tratarse de un sujeto de los enumerados en el artículo 77.1 de la LOPDGDD.

Elija la opción que proceda.

2. LICITUD DEL TRATAMIENTO

En base al registro de las actividades de tratamiento efectuadas por la organización, se puede establecer la licitud de cada una de dichas actividades de tratamiento(Obligatorio)

CUMPLE

NO CUMPLE

3. Observaciones

Posibilidades(Obligatorio)

Al examinar la licitud de cada una de las actividades de tratamiento, se consideran adecuadas en base a las condiciones recogidas en el Artículo 6. Licitud del tratamiento del Reglamento (UE) 2016/679 (RGPD).

Una o varias de las actividades de tratamiento efectuadas bajo la responsabilidad de la entidad no cumplen con ninguna de las condiciones para la licitud del tratamiento recogidas en el artículo 6 del Reglamento (UE) 2016/679 (RGPD).

3. INFORMACIÓN Y TRANSPARENCIA

En base al registro de las actividades de tratamiento efectuadas por la organización, se puede establecer el cumplimiento de los principios de información y transparencia en relación con cada una de las actividades de tratamiento.(Obligatorio)

CUMPLE

NO CUMPLE

3. Observaciones

Posibilidades(Obligatorio)

Al examinar el cumplimiento de los principios de información y transparencia en relación con cada una de las actividades de tratamiento de la organización, se consideran adecuadas en base a las condiciones de conformidad con lo recogido en los artículos 12, 13 y 14 del Reglamento (UE) 2016/679 (RGPD).

Una o varias de las actividades de tratamiento efectuadas bajo la responsabilidad de la entidad no cumplen con los principios de información y transparencia en los términos establecidos en los artículos 12, 13 y 14 del Reglamento (UE) 2016/679 (RGPD).

4. TRATAMIENTO DE DATOS PERSONALES DE MENORES DE EDAD

En base al registro de las actividades de tratamiento efectuadas por la organización, se puede establecer que se realiza el tratamiento de datos personales de menores de catorce años en el cual consta el consentimiento del titular de la patria potestad o tutela.(Obligatorio)

CUMPLE

NO CUMPLE

4. Observaciones

Posibilidades(Obligatorio)

Se realiza el tratamiento de datos personales de menores de catorce años estableciendo la constancia del consentimiento del titular de la patria potestad o tutela en base al artículo 7 de la LOPDGDD.

Se realiza el tratamiento de datos personales de menores sin que conste el consentimiento del titular de la patria potestad o tutela, exigiendo la ley la asistencia de los mismos en base al artículo 7 de la LOPDGDD.

No se realiza el tratamiento de datos personales de menores de catorce años por lo cual no se precisa la constancia del consentimiento del titular de la patria potestad o tutela en base al artículo 7 de la LOPDGDD.

5. POLÍTICA DE USO DEL SISTEMA DE INFORMACIÓN

La organización cuenta con una Política de Protección de Datos Personales (*) aceptada por las personas implicadas en el tratamiento y su contenido es adecuado.(Obligatorio)

CUMPLE

NO CUMPLE

(*) Política de Protección de Datos Personales es el conjunto de tratamientos, procesos, aplicaciones, soportes y equipos empleados para el tratamiento de datos de carácter personal y otras informaciones que contienen datos de las personas.

5. Observaciones

Posibilidades(Obligatorio)

Se dispone de la firma de Política de Protección de Datos Personales por parte de las personas implicadas en el tratamiento y su contenido es adecuado en base al Artículo 5 del RGPD y como responsabilidad proactiva se puede evidenciar.

Se dispone de la Política de Protección de Datos Personales, pero no está firmada por parte de todas las personas implicadas en el tratamiento lo que no es adecuado en base al Artículo 5 del RGPD y como responsabilidad proactiva no se puede evidenciar completamente.

No se dispone de Política de Protección de Datos Personales por parte de las personas implicadas en el tratamiento con un contenido adecuado en base al Artículo 5 del RGPD y como responsabilidad proactiva no se puede evidenciar,

6. TRATAMIENTOS REALIZADOS POR ENCARGADOS DEL TRATAMIENTO

La organización cuenta con la existencia de contratos que regulen los tratamientos por parte de los encargados, siendo conforme su contenido y estando implantados.(Obligatorio)

CUMPLE

NO CUMPLE

6. Observaciones

Posibilidades(Obligatorio)

Todos los encargados del tratamiento mantienen registros de las actividades de tratamiento bajo su responsabilidad, poniendo a disposición de la organización los registros de tratamiento por encargo correspondientes.

Todos los encargados no cooperan con la organización en el control de sus registros y a ponerlos a su disposición, aunque se haya realizado la solicitud de dichos registros, de modo que puedan servir para supervisar las operaciones de tratamiento.

No se dispone de contratos de encargo de tratamiento u otro acto jurídico válido por parte del responsable del tratamiento en todos los casos conforme a lo establecido en el artículo 28.3 del RGPD o su contenido es insuficiente.

7. PÁGINA WEB / LSSICE

La organización ha establecido una Política de Protección de Datos en su sitio web, siendo conforme su contenido y su enfoque de la información (**).(Obligatorio)

CUMPLE

NO CUMPLE

(**) En el enfoque de la información por capas, en la primera capa, se ha de proporcionar información básica sobre:

– El uso de cookies.
– Las finalidades.
– Información sobre si la instalación y el uso de cookies será sólo del responsable de la web, o también de terceros asociados a él.
– La advertencia de que si se realiza una determinada acción el usuario acepta el uso de las cookies.
– El enlace a una segunda capa en la que se facilita una información más detallada.

Más información en la Guía de la AEPD sobre el Uso de las Cookies: www.aepd.es.

7. Observaciones

Posibilidades(Obligatorio)

Se dispone en la página web de una cláusula informativa de primera capa o ventana emergente que perdura hasta que el usuario acepte su uso o de su comportamiento se deduzca su aceptación de la política de cookies, así como el contenido de ambas, conforme a lo establecido en el artículo 22 de la LSSICE.

No se dispone en la página web de una cláusula informativa de primera capa o ventana emergente que perdura hasta que el usuario acepte su uso o de su comportamiento se deduzca su aceptación de la política de cookies, así como el contenido de ambas, conforme a lo establecido en el artículo 22 de la LSSICE.

Se dispone en relación con el envío de comunicaciones comerciales, de registros del cumplimiento del régimen de solicitud o autorización expresa, establecido en los artículos 21 y 22 de la LSSICE.

No se dispone en relación con el envío de comunicaciones comerciales, de registros del cumplimiento del régimen de solicitud o autorización expresa, establecido en los artículos 21 y 22 de la LSSICE.

8. TRATAMIENTOS DE IMÁGENES Y SONIDOS

La organización ha establecido un tratamiento de datos personales con fines de videovigilancia conforme con las condiciones de legitimación (***).(Obligatorio)

CUMPLE

NO CUMPLE

(***) El tratamiento tanto de imagen como de sonido, obtenidos a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones ha de cumplir con las condiciones de legitimación, abarcando la conservación y supresión de los datos personales y el deber de información al afectado, incluyendo el tratamiento de datos en el ámbito laboral, según el artículo 22 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

8. Observaciones

Posibilidades(Obligatorio)

Se cumple con el deber de información previsto en el artículo 12 del RGPD, mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD.

No se cumple con lo establecido en el artículo 22 de la LOPDGDD en relación con el tratamiento de imágenes a través de sistemas de cámaras o videocámaras puesto que se lleva a cabo para una finalidad no lícita.

Se captan imágenes de la vía pública que no son imprescindibles para preservar la seguridad de las personas y bienes, así como de las instalaciones del responsable.

Las imágenes no se suprimen en el plazo máximo de un mes desde su captación, según la exigencia del artículo 22 de la LOPDGDD.

El responsable del tratamiento no mantiene a disposición de los afectados la información previsto en el artículo 12 del RGPD.

9. INTIMIDAD FRENTE AL USO DE DISPOSITIVOS DE VIDEOVIGILANCIA Y DE GRABACIÓN DE SONIDOS EN EL LUGAR DE TRABAJO

La organización realiza un tratamiento conforme al derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo (****)(Obligatorio)

CUMPLE

NO CUMPLE

(****) Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos, siempre que se informe con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida, según el artículo 89.1, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos, según el artículo 89.1, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

9. Observaciones

Posibilidades(Obligatorio)

El empleador trata las imágenes obtenidas a través de sistemas de cámaras o videocámaras con el juicio de proporcionalidad que ha de superar cualquier medida restrictiva de un derecho fundamental.

El tratamiento es conforme en el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos, al haberse cumplido el deber de informar, mediante la colocación de un dispositivo informativo en un lugar suficientemente visible, según el artículo 22 de la LOPDGDD.

El empleador no ha informado con carácter previo, y de forma expresa, clara y concisa, acerca del tratamiento de imágenes a través de sistemas de cámaras o videocámaras en el lugar de trabajo, según el artículo 89 de la LOPDGDD.

10. PROTECCIÓN EN EL LUGAR DE TRABAJO

La organización cuenta con buenas prácticas o medidas de protección en el lugar de trabajo y están implantadas (******)(Obligatorio)

CUMPLE

NO CUMPLE

(*****) Se exigirá que los puestos de trabajo permanezcan despejados, sin más material encima de la mesa que el requerido para la actividad que se está realizando en cada momento. Este material se guardará en lugar cerrado cuando no se esté utilizando, según el ANEXO II 5.3 Protección de los equipos, del ENS.

10. Observaciones

Posibilidades(Obligatorio)

Además de haber suscrito las normas de uso del sistema de información (según el apartado anterior 5. POLÍTICA DE USO DEL SISTEMA DE INFORMACIÓN), las personas conocen la obligación de comunicar al responsable del tratamiento las violaciones de la seguridad de los datos de que tenga conocimiento.

Se forma a intervalos adecuados al personal en el desempeño de sus funciones en lo relativo a la configuración de sistemas, aplicaciones y dispositivos, detección y reacción a incidentes y gestión de la información en cualquier soporte en el que se encuentre, tales como actividades de almacenamiento, transferencia, copias, distribución y destrucción.

No se informa a cada persona de la organización, de los deberes y responsabilidades de su puesto de trabajo en materia de seguridad de los datos y el deber de confidencialidad, tanto en el periodo durante el cual se desempeña el puesto, como las obligaciones en caso de término de la asignación o traslado a otro puesto de trabajo.

La documentación que no utilizan los usuario en un momento determinado, no está guardada correctamente, en especial cuando deja su puesto de trabajo y al finalizar la jornada.

No se establecen los deberes y obligaciones de las personas contratadas a través de un tercero, al menos del mismo nivel de seguridad que las de la organización.

No se establece un procedimiento de resolución de incidentes, con la finalidad de que se notifique a la autoridad de control competente y, en su caso, a los interesados.

11. EQUIPO INFORMÁTICO

La organización cuenta con buenas prácticas o medidas de protección en el lugar de trabajo y están implantadas (*******)(Obligatorio)

CUMPLE

NO CUMPLE

(******) Se dispondrá un sistema cortafuegos que separe la red interna del exterior. Todo el tráfico deberá atravesar dicho cortafuegos que sólo dejara transitar los flujos previamente autorizados. Se emplearán redes privadas virtuales cuando la comunicación discurra por redes fuera del propio dominio de seguridad. ANEXO II 5.4 Protección de las comunicaciones, del ENS.

11. Observaciones

Posibilidades(Obligatorio)

El acceso al equipo y a los programas se realiza a través de identificación de usuario y contraseña. El equipo tiene activado protector de pantalla con contraseña. No hay usuarios ni contraseñas apuntadas en post-it o similares.

El puesto de trabajo se bloquea al cabo de un tiempo prudencial de inactividad, requiriendo una nueva autenticación del usuario para reanudar la actividad en curso.

Se emplearán redes privadas virtuales cuando la comunicación discurre por redes fuera del propio dominio de seguridad de la organización.

Los programas destinados al tratamiento de datos personales relacionados con actividades de alto riesgo no disponen de un registro de accesos (usuario, fecha y hora, fichero accedido, tipo de acceso).

En actividades de alto riesgo no se garantiza la existencia y disponibilidad de medios alternativos de comunicación para el caso de que fallen los medios habituales o bien los medios alternativos de comunicación no están sujetos o no proporcionan las mismas garantías de protección que el medio habitual o no garantizan un tiempo máximo de entrada en funcionamiento.

12. PROTECCIÓN DE LOS SOPORTES DE INFORMACIÓN

La organización cuenta con medidas de protección de los soportes de información y están implantadas (********)(Obligatorio)

CUMPLE

NO CUMPLE

(*******) Se aplicará la debida diligencia y control a los soportes de información de la organización, garantizando el control de acceso con medidas físicas y lógicas, en base a las exigencias de mantenimiento del fabricante, en especial, en lo referente a temperatura, humedad y otros agresores medioambientales. Los soportes de información se etiquetarán conforme al nivel de seguridad de la información contenida de mayor calificación. Los usuarios han de estar capacitados para su gestión. ANEXO II, 5.5 Protección de los soportes de información, ENS.

12. Observaciones

Posibilidades(Obligatorio)

La organización caracteriza cada puesto de trabajo definiendo las responsabilidades en materia de seguridad, según el análisis de riesgos e imparte la formación correspondiente sobre los requisitos que deben satisfacer las personas.

La organización dispone de un distintivo informativo sobre las normas de destrucción segura y confidencial de la información, sobre el uso de la destrucción en soporte papel u otros, como el borrado electrónico, siempre que se va a desechar cualquier información documentada que pueda contener datos personales.

Se detectan casos en los que se deja documentación sin destruir que pueda contener información de personas físicas junto a la máquina destructora de papel.

No se ha impartido formación a todas las personas de la organización en relación a aspectos básicos de seguridad tales como correo electrónico, dispositivos extraíbles, uso de wifis y redes, contraseñas o protección de datos personales.

13. CONCIENCIACIÓN Y FORMACIÓN

La organización realizará las acciones necesarias para concienciar y formar a las personas de la organización (*********)(Obligatorio)

CUMPLE

NO CUMPLE

(********) Se realizarán las acciones necesarias para concienciar regularmente al personal acerca de su papel y responsabilidad para que la seguridad del sistema alcance los niveles exigidos. En particular, se recordará regularmente: a) la normativa de seguridad relativa al buen uso de los sistemas b) la identificación de incidentes, actividades o comportamientos sospechosos que deban ser reportados para su tratamiento por personal especializado, c) el procedimiento de reporte de incidentes de seguridad, sean reales o falsas alarmas, según ANEXO II 5.2 Gestión del personal, del ENS.

13. Observaciones

Posibilidades(Obligatorio)

La organización dispone de mecanismos del tipo cerradura con llave, combinación, etc., que obstaculizan el acceso a los dispositivos de almacenamiento de la documentación, tales como armarios, archivadores, etc., que contienen datos personales, tales como nóminas, fichas de personal e historiales, CV, etc.

La organización dispone alternativamente de mecanismos que impiden el acceso de personas no autorizadas a las áreas a los datos personales para protección de los soportes de información.

El cuidado de los soportes de información, abarca las normas de uso de la impresora de documentos, habiendo un distintivo informativo sobre ello, para que se retiren los documentos por cada uno de los usuarios conforme van siendo impresos, aunque se observan documentos impresos en la bandeja de salida, por lo que no está implantado.

En actividades de alto riesgo la organización no dispone de una ubicación para los datos especialmente protegidos en un área de acceso restringido con puerta de acceso con llave, combinación, etc.

En actividades de alto riesgo la organización no dispone alternativamente de mecanismos que impiden el acceso de personas no autorizadas a las áreas a los datos personales para protección de los soportes de información, mediante un registro de acceso implantado, etc.

El resultado de la Autodiagnosis es el siguiente:

% CUMPLE

% NO CUMPLE

CONCLUSIONES

Haz clic en «TERMINAR INFORME» para finalizar. Tus resultados te serán remitidos a {Correo electrónico:9}

Cookie	Duración	Descripción
cookielawinfo-checkbox-analiticas	1 year	No description available.
cookielawinfo-checkbox-funcionales	1 year	No description available.
cookielawinfo-checkbox-necesarias	1 year	No description
cookielawinfo-checkbox-otras	1 year	No description
cookielawinfo-checkbox-publicitarias	1 year	No description available.
cookielawinfo-checkbox-rendimiento	1 year	No description available.
yt-remote-connected-devices	never	No description available.
yt-remote-device-id	never	No description available.

Cookie	Duración	Descripción
IDE	1 year 24 days	Used by Google DoubleClick and stores information about how the user uses the website and any other advertisement before visiting the website. This is used to present users with ads that are relevant to them according to the user profile.
test_cookie	15 minutes	This cookie is set by doubleclick.net. The purpose of the cookie is to determine if the user's browser supports cookies.
VISITOR_INFO1_LIVE	5 months 27 days	This cookie is set by Youtube. Used to track the information of the embedded YouTube videos on a website.
YSC	session	This cookies is set by Youtube and is used to track the views of embedded videos.