Cuestionario

Órganos de gobierno ¿Cuáles son los elementos de gobierno implicados en la prestación del servicio? (*)

No existe implicación de otras áreas de la organización, excepto desde la que se presta el servicio Existen otras áreas técnicas de la organización que colaboran en la prestación Existen comités formalizados donde intervienen todas las áreas necesarias para prestar el servicio Se han formalizado órganos ejecutivos integrados por dirección y comités técnicos intermedios integrados por una representación de todas las áreas implicadas Existen y participan activamente los órganos ejecutivos integrados por la alta dirección y comités técnicos intermedios integrados por una representación de todas las áreas implicadas

DPD centralizado ¿Cómo se ha formalizado el requisito del DPD en los responsables del tratamiento? (*)

No se ha designado el DPD Algunas responsables del tratamiento han designado un DPD local Todas los responsables del tratamiento tienen designado un DPD local Parte de los responsables del tratamiento tienen DPD local y parte DPD centralizado El DPD de todas (o la mayoría) los responsables del tratamiento se encuentra designado en el organismo central

Órganos consultivos ¿Como se resuelven los conflictos entre la normativa específica del sector y la normativa de protección de datos? (*)

No se resuelven, quedando a criterio del responsable del tratamiento Se pide opinión a otras áreas implicadas Se traslada la consulta a la Autoridad de Control (ej: AEPD) Existe un servicio subcontratado de asesoría legal especializada Existe un Comité formado por expertos en normativa específica del sector y expertos en protección de datos, donde se elevan y resuelven los conflictos

Responsables del servicio ¿El servicio está compuesto por personal cualificado? (*)

No existe personal cualificado asociado al servicio El servicio cuenta con personal cualificado de algún ámbito del servicio prestado El servicio está cubierto por personal cualificado y formado en los principales ámbitos y áreas del servicio prestado El servicio está cubierto íntegramente por personal cualificado, formado y con certificaciones en todos los ámbitos y áreas del servicio prestado El servicio está correctamente dimensionado y cubierto íntegramente por personal cualificado, formado y con certificaciones en todos los ámbitos y áreas del servicio prestado

Cuerpo Normativo del Servicio ¿Se dispone de un cuerpo normativo que cubra documentalmente todos los aspectos del servicio prestado a los responsables del tratamiento? (*)

No existen procedimientos documentados Existen procedimientos documentados que cubren parte del servicio Existe un cuerpo normativo completo Existe un cuerpo normativo completo, aprobado por la alta dirección Existe un cuerpo normativo completo, aprobado por la alta dirección y actualizado periódicamente (como mínimo anual)

Sistema de Gestión del Servicio ¿El servicio está gobernado a través de un Sistema de Gestión? (*)

No existe un Sistema de Gestión asociado al servicio prestado El servicio se gestiona informalmente El alcance del servicio está cubierto en parte por algún sistema de gestión El alcance del servicio está cubierto completamente mediante un sistema de gestión implantado y mantenido El alcance del servicio está cubierto completamente mediante un sistema de gestión implantado, mantenido y certificado por un organismo independiente

Normativa interna ¿Los responsables del tratamiento cuentan con una normativa de protección de datos? (*)

No existe normativa de protección de datos Algunos responsables del tratamiento tienen normativas de protección de datos elaboradas por ellos Los responsables del tratamiento cuentan con normativa de protección de datos, sin adaptar a la normativa del sector La normativa de protección de datos está adaptada a la normativa del sector La normativa de protección de datos está adaptada a la normativa del sector, cuenta con casos resueltos y se actualiza regularmente

Ventanilla única ¿El servicio cuenta con ventanillas de atención a los ciudadanos? (*)

No existe ventanilla de atención a los ciudadanos, más allá de las propias de los responsables del tratamiento Existe un correo genérico donde los ciudadanos pueden acudir sin necesidad de dirigirse al responsable del tratamiento Existe una centralita para atender a los ciudadanos que canaliza llamadas al responsable correspondiente Existe una atención multicanal (correo, postal, teléfono, …) para atender a los ciudadanos, que se canaliza al responsable correspondiente Existe una ventanilla única centralizada multicanal a donde los ciudadanos pueden acudir, y desde ella se canaliza al responsable correspondiente, garantizando que se responden todas las peticiones en plazo

Intermediación con Autoridad de Control ¿El servicio cuenta con funciones de intermediación con la Autoridad de Control (AC)? (*)

No se realiza funciones de intermediación con la AC. La AC acude directamente en todo caso a los responsables del tratamiento Se realizan funciones de intermediación con la AC para algunos responsables del tratamiento Se han establecido los canales formales de comunicación entre los responsables del tratamiento, el organismo central y la AC Existe un canal formal centralizado donde las AC puede acudir para ejercer sus competencias (reclamaciones, consultas,...) y desde ella se canaliza al responsable del tratamiento correspondiente Existe un canal formal centralizado donde las AC puede acudir para ejercer sus competencias (reclamaciones, consultas,...) y desde ella se canaliza al responsable del tratamiento correspondiente, garantizando que se responden todas las peticiones en plazo

Soporte especializado ¿El servicio cuenta con sistema de atención / soporte a los responsables del tratamiento en materia de PD? (*)

No existe soporte a los responsables del tratamiento Existe un correo genérico donde los responsables del tratamiento pueden realizar consultas Existe una centralita donde se recogen las peticiones para resolverlas más adelante Existe una atención multicanal (correo, teléfono, …) para atender a los responsables del tratamiento donde se resuelven las cuestiones básicas de PD Existe una atención multicanal para atender a los responsables del tratamiento con diferentes niveles de soporte para resolver tanto cuestiones básicas como problemas no cubiertos por la documentación estandar

Formación y concienciación ¿El servicio realiza iniciativas de formación y concienciación a los responsables del tratamiento? (*)

No se realizan iniciativas de formación/concienciación Existe documentación a disposición del personal de los responsables del tratamiento Existe documentación y cursos de formación / concienciación a disposición del personal de los responsables del tratamiento Existe documentación y cursos de formación / concienciación a disposición del personal de los responsables del tratamiento, y se lanzan iniciativas de forma periódica Existe un plan de formación y concienciación donde se analizan y cubren las necesidades de los principales colectivos de los responsables del tratamiento

Herramienta de cumplimiento ¿Se pone a disposición de los responsables alguna herramienta desde la que puedan gestionar la privacidad en el ámbito de su responsabilidad? (*)

No se dispone de ninguna herramienta para que puedan gestionar la privacidad Algunos responsables del tratamiento disponen de herramientas desarrolladas / compradas por ellos Se proporciona herramientas básicas ofimáticas para ayudar a que puedan realizar parte de sus responsabilidades Se dispone de una herramienta utilizable por los responsables del tratamiento desde la que pueden gestionar parte de sus responsabilidades Se dispone de una herramienta multiplataforma desde donde pueden gestionar de forma integral todas las cuestiones que quedan bajo su ámbito de responsabilidad

Cumplimiento de procesos clave de privacidad ¿El servicio presta soporte al cumplimiento de los procedimientos clave de los responsables (PpD, PdD, RAT, AARR)? (*)

No se presta servicio a estos procedimientos Se presta suministrando protocolos de actuación para que cada responsable del tratamiento pueda realizarlos Se presta suministrando protocolos de actuación y soluciones que aplican de forma general a todos los responsables del tratamiento Se presta servicio con soluciones comunes, y particularizando para cada responsable, bajo demanda Se presta servicio con soluciones comunes, y particularizando para cada responsable, mediante la disposición de herramientas automáticas

Cumplimiento de procesos de respuesta a terceros ¿El servicio presta soporte al cumplimiento de los procedimientos de respuesta a ciudadanos y Autoridad de Control de los responsables del tratamiento (Violaciones, Derechos, reclamaciones...)? (*)

No se presta servicio a estos procedimientos Se presta suministrando protocolos de actuación para que cada responsable del tratamiento pueda realizarlos Se presta suministrando protocolos de actuación y soluciones que aplican de forma general a todas los responsables del tratamiento Se presta servicio con soluciones comunes, y dando soporte a cada responsable del tratamiento, bajo demanda Se presta servicio con soluciones comunes, y dando soporte a cada responsable del tratamiento mediante la disposición de herramientas automáticas que garanticen los plazos fijados

Supervisión del cumplimiento ¿Se realizan procesos de supervisión del cumplimiento de los responsables del tratamiento? (*)

No se realizan procesos de supervisión Algunos responsables del tratamiento realizan procesos de supervisión por su cuenta El servicio pone a disposición del responsable del tratamiento mecanismos que les permitan autoevaluar su nivel de cumplimiento El servicio pone a disposición del responsable del tratamiento mecanismos periódicos que les permitan autoevaluarse, o también realizar procesos de verificación con evidencias que sean revisadas desde el organismo central El servicio pone a disposición del responsable el tratamiento mecanismos periódicos que les permitan autoevaluarse; realizar procesos de verificación con revisión centralizada de evidencias, o auditorías formales de PD

Seguro de protección de datos ¿El servicio cuenta con un seguro que cubra errores e incidentes de seguridad y PD? (*)

No se ha contratado un seguro de PD Se ha contratado un seguro de PD que cubre al organismo central Se ha contratado un seguro de PD que cubre a los responsables del tratamiento Se ha contratado un seguro de PD que cubre accidentes y posibles sanciones en materia de seguridad y PD, tanto al organismo central como a los responsables del tratamiento Se ha contratado un seguro de PD que cubre accidentes y posibles sanciones en materia de seguridad y PD, tanto al organismo central como a los responsables del tratamiento, con coberturas aprobadas por la alta dirección y revisadas como mínimo, anualmente

Código de conducta ¿Se ha elaborado un código de conducta en materia de PD al que los responsables del tratamiento puedan adherirse? (*)

No existe un código de conducta Se ha iniciado la elaboración de un código de conducta Se ha elaborado un código de conducta, cumpliendo las bases mínimas de la normativa de PD Se ha elaborado un código de conducta aprobado por la Autoridad de Control Se ha elaborado un código de conducta aprobado por la Autoridad de Control, al que están adheridos la mayoría de los responsables del tratamiento

Certificación de privacidad ¿El servicio cubre las necesidades para que los responsables del tratamiento pueden obtener una certificación en el ámbito de PD? (*)

No se cubre Se proporciona documentación muy básica o parcial que cubre parte de lo necesario Se proporciona plantillas y procedimientos para que el responsable del tratamiento pueda obtener y mantener una certificación de PD Se proporciona plantillas y procedimientos para que el responsable del tratamiento pueda obtener y mantener una certificación de PD, y pone a disposición del reponsable de tratamiento parte de los servicios requeridos para obtener la certificación El servicio proporciona íntegramente todos los recursos necesarios para que el responsable del tratamiento pueda obtener y mantener una certificación de PD

Madurez adaptativa ¿El servicio se adapta al nivel de madurez / avance que tiene cada responsable del tratamiento? (*)

No existen niveles de adaptación Se han definido recomendaciones o itinerarios de adaptación que pueden ser utilizados por los responsables del tratamiento a modo de guía Se han definido itinerarios de adaptación iterativos, y se controla en que estado de madurez está cada responsable del tratamiento Se han definido itinerarios de adaptación iterativos, se controla en que estado de madurez está cada responsable del tratamiento, y parte de los elementos del servicio se adaptan a este estado Los elementos del servicio se adaptan completamente al nivel de madurez en el que se encuentra cada responsable del tratamiento

Ruta de navegación

Cuestionario

Autoevaluación para Servicios Centralizados de Privacidad