Implementar la LOPDP no significa preparar documentos una sola vez. Nuevos proveedores, sistemas, campañas, formularios o bases de datos pueden hacer que las políticas de privacidad dejen de coincidir con la operación real de la empresa.
La implementación debe revisarse y poder demostrarse
La LOPDP exige procesos de verificación, evaluación y valoración periódica de la eficacia de las medidas administrativas, técnicas, físicas, organizativas y jurídicas. Una auditoría de cumplimiento permite comparar documentos, controles y tratamientos reales, además de dejar evidencia de las correcciones realizadas.
La obligación general está en el artículo 47.3 de la LOPDP. La evaluación debe ajustarse a los tratamientos y riesgos: una auditoría es una vía para comprobar la eficacia, pero la ley no obliga de forma universal a toda empresa a contratar una auditoría externa idéntica.
Qué cambios deberían activar una revisión
Conviene revisar el sistema cuando se incorpora software, cambia un proveedor, se usa biometría, se crean nuevas bases, se modifican finalidades o se tratan categorías especiales. También deben comprobarse avisos de privacidad, contratos, plazos de conservación, registros, medidas de seguridad y procedimientos para atender derechos.
El DPD supervisa, pero no reemplaza a la empresa
El Delegado de Protección de Datos asesora y supervisa el cumplimiento, incluidos riesgos, evaluaciones de impacto, derechos e incidentes. Su participación ayuda a detectar brechas, pero el responsable o encargado mantiene sus propias obligaciones y debe facilitar información, recursos y acceso oportuno a los procesos.
Cuándo la gran escala exige reglas específicas
Para tratamientos a gran escala, el artículo 17 de la Resolución SPDP-SPD-2026-0005-R exige auditorías internas o externas al menos cada doce meses y cuando ocurren cambios significativos en los tratamientos, tecnologías o riesgos, con las equivalencias admitidas para procesos de auditoría, evaluaciones de cumplimiento o certificaciones vigentes. En los encargados, el alcance se limita a procesos y actividades bajo su control o responsabilidad directa.
Los informes de auditoría deben conservarse por al menos cinco años, garantizando integridad, confidencialidad y disponibilidad para la SPDP. La norma también exige informes anuales de cumplimiento en los casos comprendidos; compruebe primero la calificación del tratamiento y el alcance aplicable a cada parte.
Lista de evidencias para preparar la revisión
- Tratamientos y bases: finalidad, datos necesarios y fundamento de cada uso; RAT cuando sea obligatorio.
- Información: avisos pertinentes, versiones y evidencia de cómo se presentan al titular.
- Proveedores: roles por operación, contratos de encargo e instrucciones y garantías aplicables.
- Riesgos y seguridad: análisis, EIPD cuando se exige y pruebas de accesos, copias, recuperación y medidas ejecutadas.
- Derechos e incidentes: solicitudes o pruebas de atención, plazos, responsables y registros de respuesta y gestión.
- Conservación: matriz aplicada a sistemas, archivos y proveedores; evidencia de eliminación o conservación justificada.
Para cada punto marque evidencia disponible, comprobación pendiente o acción necesaria. Un hallazgo debe indicar quién ejecutará la corrección, fecha de seguimiento y prueba de cierre. Por ejemplo, una política nueva no resuelve hojas de vida antiguas sin revisar y actuar sobre el archivo. Esta lista orienta el trabajo y no constituye una certificación automática.
TempoLegal recomienda contrastar estas evidencias con el RAT y las evaluaciones de impacto. La gerencia asigna recursos y ejecuta las decisiones; el DPD asesora y supervisa independientemente.
Fuentes oficiales: LOPDP; Norma de gran escala 2026-0005-R. Contenido revisado por TempoLegal al 12 de octubre de 2026.