La auditoría de protección de datos

• Author: Fernando Mata Leonor
• Profession: Licenciado en Derecho
• Pages: 383-403

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

TÉCNICAS PARA GARANTIZAR EL CUMPLIMIENTO DE LA NORMATIVA DE PROTECCIÓN DE DATOS

CAPÍTULO 3.1

383

La auditoría de protección de datos

3.1.1. El proceso de Auditoría. Cuestiones

generales y aproximación a la Auditoría.

Características básicas de la Auditoría

Conceptos generales ISO 19011:2018

La primera línea consiste en los controles establecidos en las áreas

operativas, cuya responsabilidad última recae en los Directores de área. La

segunda línea la constituyen los órganos de supervisión y control, que en el

caso de protección de datos es responsabilidad del Delegado de Protección

de Datos (DPD). La tercera línea, como hemos visto, la constituye la Fun-

ción de Auditoría.

En materia de seguridad de la información, podemos mencionar la

Guía 8012 del CCN-CERT sobre roles y responsabilidades en el Esque-

ma Nacional de Seguridad, donde se identican claramente las diferentes

líneas de defensa, de manera que el Responsable de Seguridad y el DPD

tienen una labor de supervisión y el Responsable de Sistemas unas labores

de ejecución. Además, recuerda que la gura del Delegado de Protección

de Datos (DPD) no puede coincidir con la del Responsable de Seguridad

porque el DPD tiene que actuar de forma autónoma e independiente y el R.

Seguridad actúa bajo las indicaciones del R. de la Información.

La Auditoría es un “proceso sistemático, independiente y documen-

tado para obtener evidencias y evaluarlas de manera objetiva con el n de

determinar la extensión en que se cumplen los criterios de Auditoría”. Pro-

ceso sistemático, independiente y documentado para obtener evidencias

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

PRONTUARIO DEL DELEGADO DE PROTECCIÓN DE DATOS GUÍA PARA LA CERTIFICACIÓN ENAC-AEPD

FERNANDO MATA LEONOR

384

objetivas y evaluarlas de manera objetiva con el n de determinar el grado

la extensión en que se cumplen los criterios de Auditoría. (Denición 3.1

de la norma ISO 19011:2018).

Criterios de auditoria.

Conjunto de requisitos usados como referencia frente a la cual se

compara la evidencia objetiva. Se entiende por evidencia objetiva los datos

que respaldan la existencia o veracidad de algo. (Deniciones 3.7 y 3.8 de la

norma ISO 19011:2018).

Alcance.

Es la extensión y límites de una Auditoría. El alcance de una Au-

ditoría incluye generalmente una descripción de las ubicaciones físicas y

virtuales, las funciones, las unidades de la organización, las actividades y

los procesos, así como el periodo de tiempo cubierto. Una ubicación virtual

es un lugar donde la organización desempeña trabajo o presta un servicio

usando un entorno en línea que permite a las personas ejecutar procesos

con independencia de su ubicación física. (Denición 3.5 de la norma ISO

19011:2018). E n privacidad, el alcance de la auditoria se limita a las activi-

dades del tratamiento que el auditado considere. Para ello, basta con echar

un vistazo al Registro de Actividades del Tratamiento (en adelante, RAT)

elaborado por la organización en virtud del artículo 30 del RGPD y deter-

minar que procesos se van a auditar.

Objetivos.

Determinan el objeto de realizar la Auditoría, es decir, qué se pre-

tende obtener con la Auditoría. Los objetivos de la Auditoría deberían ser

denidos por el cliente de la Auditoría.

Evidencias objetivas.

Registros, declaraciones de hechos o cualquier otra información que

es pertinente para los criterios de Auditoría y que es vericable. (Denición

3.9 de la norma ISO 19011:2018).