365 días tras la implantación del temido GDPR
Ya hace un año de la implantación del RGPD (Reglamento General de Protección de Datos o GDPR en sus siglas en inglés), de la que todos recordamos la ingente cantidad de correos que nos pedían nuestro consentimiento o que nos informaban del tratamiento que iban a hacer. Con muchos de estos correos nos pasaba que ni nos acordábamos de que teníamos cuenta en esa plataforma. A mucha gente le sirvió para saber dónde estaban sus datos y, a los que tenían tiempo, para gestionar y darse de baja de algunas plataformas.
El Reglamento General de Protección de Datos es de 2016 (679/2016 de la Comisión Europea), publicado el 16 de abril, y de obligado cumplimiento desde el pasado 24 de mayo de 2018. Hubo gente que se quejó de que no les daba tiempo para adaptarse, pero hay que tener en cuenta que se dio poco más de dos años para hacerlo; solamente es que mucha gente no se dio cuenta de eso. Con esto, vamos a ver cómo ha realizado el Grupo Caja de Ingenieros la adaptación a esta normativa.
Proceso de adaptación al RGPD del Grupo Caja de Ingenieros
Desde su publicación, en Caja de Ingenieros se hicieron algunos informes internos sobre el impacto en nuestra Entidad. A principios de 2017, desde departamentos de Control Interno se creó un grupo de trabajo para empezar la adaptación a esta normativa, se realizó una presentación al Comité de Dirección para darle visibilidad al proyecto y desde allí se formalizó e impulsó el grupo de trabajo con la implicación de varios departamentos (Sistemas, Asesoría Jurídica y Negocio, entre otros). Dicho grupo pasó a ser totalmente transversal y con la implicación de Dirección se impulsó su trabajo, marcando reuniones, plazos y objetivos a cumplir.
Primero se analizó la norma a fondo y lo que implicaba cumplirla, es decir, qué es lo que pide la norma; posteriormente, se examinó la situación actual de la Entidad en relación con el estudio RGPD previo, lo que se llama un gap analysis; y para finalizar se analizaron el esfuerzo y las dependencias de procesos para llegar a lo que se tenía hacer y, a partir de allí, marcar prioridades y poner hilo a la aguja para cumplir los plazos marcados por el propio reglamento.
Durante el 2017 e inicio de 2018, cuando se implementó la mayor parte del proyecto de adaptación, se realizaron las siguientes tareas:
- Revisión y actualización de más de mil documentos, desde plantillas de contrato a normativas internas. Parte de la revisión se ha realizado nuevamente después de la aprobación de Ley Orgánica española 3/2018, de 5 de diciembre.
- Reuniones con el objetivo de informar a los socios y socias de la manera menos intrusiva posible.
- Desarrollos, en los que se han invertido cientos de horas, para actualizar los sistemas internos para que tengan en cuenta los nuevos requisitos legales y de funcionalidad exigidos por el reglamento.
- Formaciones internas y externas, que han representado cientos de horas invertidas.
- Revisión y actualización de la información digital.
- Revisión de contratos con proveedores.
- Consultas a la AGPD y a otros organismos especializados (organizaciones, bufetes, organismos, asociaciones profesionales…) para ver la viabilidad y adecuación de las actividades que se iban a realizar.
- Asistencia a charlas de la Agencia Española de Protección de Datos para conocer sus las recomendaciones sobre ciertas situaciones (interés legítimo, registro de tratamientos, información a los interesados…).
Ya antes del considerado día 0 del RGPD, el 25 de mayo de 2018, nos dimos cuenta de que no era una simple implantación y nos olvidamos, sino que el trabajo demostró que el sistema de gestión de la privacidad, con el actual reglamento, no es hacer un checklist y seguir trabajando en el negocio, sino que es un servicio que requiere una dedicación continua, un procedimiento y una proactividad que pocas empresas pueden permitirse; pero en una situación tan regulada como la financiera, en la que además la confianza es primordial, el hacer bien las cosas es un hecho diferencial y Caja de Ingenieros tiene este objetivo y misión bien implantado en su ADN, por eso puedo indicar que este proyecto de adaptación al RGPD ha sido todo un éxito.
Como añadido, como DPO (Delegado de Protección de Datos) he participado en dos mesas redondas, el Congreso de ISACA Barcelona en octubre de 2018 y el GIGATIC en mayo de 2019, junto con otros DPO como el del Ayuntamiento de Barcelona y el de la Fira de Barcelona, y hemos compartido experiencias, situaciones, casos específicos y conocimientos, y hemos aprendido entre nosotros. En estas situaciones hemos podido ver, y coincidimos todos, la necesidad de un buen sistema de gobierno de la privacidad y la necesidad de hacer una gestión continua del mismo.
