- Artículo 30 del RGPD: las organizaciones deben mantener un Registro de actividades de procesamiento (RoPA), esencialmente un mapa de datos
- Un mapa de datos documenta: qué datos posee, dónde, por qué, quién puede acceder a ellos, durante cuánto tiempo los conserva
- Comience con sus datos de mayor riesgo primero (datos de cliente, datos de salud, registros financieros)
- Es un documento viviente — actualizarlo cuando los sistemas o procesos cambien
El mapeo de datos personales —también llamado inventario de datos o mapeo de flujo de datos— es el proceso de identificar sistemáticamente todos los datos personales en su organización: qué es, dónde vive, cómo fluye, quién tiene acceso y cuánto tiempo lo mantiene. En virtud del artículo 30 del RGPD, la mayoría de las organizaciones deben documentar esto en un registro de actividades de procesamiento.
Más allá del cumplimiento, un mapa de datos es operacionalmente valioso. Cuando se produce una brecha de datos, es necesario saber exactamente qué datos se afectan. Cuando llegue un DSAR, necesita saber dónde buscar. Cuando implementas un nuevo sistema, necesitas saber qué datos tocará. Un inventario de datos mantenido responde rápidamente a todas estas preguntas.
Relacionados HubSecure
CRM CRM guía CRM cumplimiento CRM para empresas crecientes CRM módulo HubSpot cumplimiento de la comparación CRM guía guía Guía Biblioteca reservar un flujo de trabajo
Seguridad relacionada, privacidad y recursos de gobernanza
Continuar con HubSecure centro de seguridad y confianza, acuerdo de procesamiento de datos, subprocesadores, flujos de trabajo de cumplimiento, operador de IA gobernado.
Caso de uso relacionado
Esta guía pertenece al grupo de guías de consolidación de herramientas y alternativas de espacio de trabajo. Continúe con el centro de productos para alternativas de espacio de trabajo y consolidación de herramientas.
Qué debe capturar su mapa de datos
Como mínimo, su RoPA según el Artículo 30 debe incluir:
- Nombre y datos de contacto del responsable del tratamiento (y DPO si procede)
- Finalidades de cada actividad de tratamiento
- Categorías de interesados (clientes, empleados, prospectos, etc.)
- Categorías de datos personales (nombres, datos de contacto, datos financieros, datos de salud, etc.)
- Categorías de destinatarios (quién recibe o accede a los datos)
- Transferencias a terceros países (fuera del EEE) y salvaguardias aplicadas
- Períodos de retención o criterios de eliminación
- Descripción de las medidas de seguridad (a nivel general)
Cómo construir su mapa de datos
Paso 1: Identificar sus actividades de procesamiento
Empieza por enumerar todas las cosas que haces con datos personales. Para una empresa de servicios profesionales, esto normalmente incluye: cliente a bordo y KYC, entrega de servicios y gestión de materias, facturación e facturación, comunicaciones de marketing, HR y nómina de sueldos, gestión de proveedores, gestión de acceso a TI, CCTV.
Paso 2: Entrevista a los propietarios de datos
Para cada departamento o función, hable con las personas que realmente utilizan los datos día a día. Ellos saben qué sistemas utilizan, qué información recopilan, y con quién lo comparten. Es necesario incluir equipos informáticos, de recursos humanos, financieros, de cumplimiento y de atención al cliente.
Paso 3: Identificar todos los sistemas
Listar cada aplicación, sistema o ubicación de almacenamiento que contenga datos personales. Incluido:
- CRM y sistemas de gestión de casos
- Plataformas de correo electrónico
- Gestión de documentos y almacenamiento en la nube
- Recursos humanos y sistemas de nómina
- Plataformas de contabilidad
- Herramientas de automatización
- Plataformas de videoconferencia (si almacenan grabaciones)
- Archivos físicos y registros de papel
- Sistemas de respaldo
Paso 4: Mapa de flujos de datos
Para cada actividad de procesamiento, traza el flujo de datos: de dónde viene, qué le sucede, a dónde va, quién tiene acceso en cada etapa. Esto revela a los procesadores de terceros, las transferencias internacionales y las lagunas de control de acceso que pueden no ser obvias únicamente de las listas de sistemas.
Paso 5: Asignar una base legal y períodos de retención
Para cada actividad de procesamiento, documente la base legal del RGPD y el período de retención. Aquí es donde su mapa de datos se conecta a su documentación de cumplimiento más amplia — avisos de privacidad, horarios de retención y DPAs.
Atajo práctico: Comience con los datos de su cliente — es casi seguro su mayor volumen y mayor riesgo. Obtener el mapeado completamente antes de abordar las actividades de procesamiento de menor riesgo. Un mapa de datos parcial y mantenido es mucho más valioso que un completo que está inmediatamente fuera de la fecha.
Mantener su mapa de datos
Un mapa de datos que no se mantiene se convierte en una responsabilidad de cumplimiento en lugar de un activo. Construir un proceso de revisión:
- Revisar el mapa completo de datos al menos anualmente
- Probar una actualización cuando se implementa un nuevo sistema, se contrata un nuevo proveedor o un proceso cambia significativamente
- Assign ownership — a named individual or team responsible for keeping the map current
- Control de versiones: mantener un registro de cuándo se hicieron cambios y por qué
¿Se aplica a las empresas reguladas la exención para las PYMES en virtud del artículo 30?
El artículo 30(5) exime a las organizaciones con menos de 250 empleados del requisito de RoPA, a menos que el procesamiento represente un riesgo para los derechos y libertades de las personas, el procesamiento no es ocasional, o incluye datos de categoría especial. Las empresas reguladas (empresas desfavorecidas por AML, servicios financieros, salud) casi siempre quedan fuera de la exención.
¿Pueden las autoridades supervisoras solicitar nuestro mapa de datos?
Sí. The RoPA must be made available to supervisory authorities on request under Article 30(4). Los reguladores revisan habitualmente los mapas de datos durante las auditorías e investigaciones.
Todos los datos de su cliente, mapeados y gobernados
HubSecure CRM y Vault guardan datos personales en un solo espacio de trabajo gobernado, por lo que su mapa de datos se mantiene exacto y sus respuestas DSAR son rápidas.
Reserva una demostraciónRevisión de los equipos regulados
Preparado por el equipo editorial HubSecure para operadores, líderes de cumplimiento y revisores de TI que evalúan software seguro de operaciones cliente.
Autores · Revisores · Política editorial