No existe un plazo fijo, pero sí una estimación realista
El reglamento relativo al pasaporte de producto digital no establece un plazo dentro del cual deba comprobar si los datos del pasaporte están sujetos a la RGPD. Esa verificación es un paso independiente que usted, solo o en colaboración con un abogado o un delegado de protección de datos, realiza además de la elaboración del pasaporte. En la práctica, esto va desde unos pocos días en un perfil sencillo sin datos identificables, hasta varias semanas cuando no está claro qué campos contienen una persona de contacto, un número de serie o una dirección de entrega de una persona física.
Lo que principalmente determina el tiempo de tramitación no es la verificación en sí, sino la pregunta anterior: ¿sabe exactamente qué datos van a figurar en el pasaporte y de quién proceden? Las empresas que ya han realizado este inventario para otros fines completan la verificación más rápidamente que las empresas que lo hacen por primera vez.
Qué incluye exactamente la verificación de la RGPD de un pasaporte de producto
El pasaporte de producto de aluminio contiene esencialmente datos técnicos y de materiales: aleación, origen, método de procesamiento, información sobre reciclaje. Estos datos no son datos personales en sí. La verificación se vuelve relevante cuando se añaden datos identificables de una persona física, por ejemplo el nombre de una persona de contacto en un pequeño proveedor, un autónomo que actúa como fabricante, o un número de serie que puede vincularse a un empleado específico que lo ha creado.
La verificación suele constar de tres partes: identificar qué campos se rellenan realmente en el pasaporte, evaluar si contienen datos personales, y documentar la base legal para procesar esos datos si es así. Para obtener más información sobre qué datos van al pasaporte exactamente y cómo se tratan en él, consulte la página sobre cómo tratamos la privacidad y los datos.
Dónde se atasca el tiempo de tramitación en la práctica
Tres cuellos de botella aparecen con mayor frecuencia. En primer lugar: nadie en la empresa sabe exactamente qué datos solicita el proveedor de software o la parte que elabora el pasaporte. Sin ese resumen, la verificación no puede comenzar. En segundo lugar: la cuestión de quién puede o debe realizar la verificación sigue siendo interna, porque no se ha designado un delegado de protección de datos permanente o porque el gerente de oficina y el departamento de TI se remiten mutuamente. En tercer lugar: en las empresas que trabajan con varios proveedores o subcontratistas, tarda más tiempo determinar si cada parte transmite datos personales y sobre qué base.
La demora raramente está en la verificación en sí, sino en la preparación de la misma. Una verificación de la RGPD que se realiza sobre un conjunto de datos incompleto debe repetirse posteriormente de todas formas.
A quién implica prácticamente
En una pyme, suele no ser un rol que exista de forma independiente; el gerente de oficina, el responsable de recursos humanos o el director asumen la coordinación. Para la evaluación sustantiva, se necesita experiencia jurídica, interna o externa. Para cuestiones sobre el tratamiento de datos de empleados implicados en el pasaporte, el comité de empresa o los representantes del personal también juegan un papel, especialmente si surgen nuevos registros o vínculos. Además, el proveedor de software es un interlocutor permanente: esa parte también determina qué campos se registran técnicamente y dónde se almacenan esos datos.
Un resumen de todo lo que implica y en qué orden se encuentra en la base de conocimientos con temas desarrollados según situaciones. Allí encontrará también la fuente de cada tema en el texto oficial, para que pueda comprobar de dónde procede exactamente una obligación.
Cómo obtener una estimación para su propia situación
Debido a que el tiempo de ejecución depende en gran medida de cuántos datos ya tiene en orden, una directriz general tiene poco valor. Un primer paso práctico es verificar qué datos registra actualmente su empresa sobre proveedores, personas de contacto y empleados, y si esos datos también aparecerán en el pasaporte. Con unas pocas preguntas obtener una indicación de dónde se encuentra su empresa, muestra cuánta preparación aún es necesaria antes de que una auditoría RGPD pueda comenzar de manera significativa.
Para la cuestión de si su pasaporte específico contiene datos personales y qué base legal le corresponde, la evaluación por parte de un abogado o, en caso de duda, la Autoridad de Protección de Datos sigue siendo el punto de contacto indicado. Este artículo describe el proceso en términos generales y no sustituye ese consejo.
Por último
El tiempo de ejecución de una auditoría RGPD para el pasaporte del producto de aluminio no es un número fijo, sino el resultado de qué tan bien ya tiene sus datos antes de comenzar. Si desea saber qué pasos aún están abiertos para su empresa, consulte las preguntas frecuentes sobre el pasaporte del producto o realice el escaneo rápido gratuito para ver dónde se encuentra ahora.