Guías de AutoSmartQué abarca esta guía
Un concesionario guarda más datos que muchos bancos: documentos de identidad, permisos de conducir, datos bancarios, direcciones y datos de vehículos, que se comunican al importador, a los bancos y a las aseguradoras. El RGPD (RODO en polaco) permite multas de hasta 20 millones de euros o el 4 % de la facturación mundial. La UODO (Oficina de Protección de Datos Personales) multó a McDonald's Polska con 16,9 millones de eslotis por deficiencias en su análisis de riesgos y en su seguridad.
Esta guía abarca 5 estándares de protección de datos para concesionarios, con 12 puntos de control: el consentimiento de marketing, la cláusula informativa, las solicitudes de derechos de los clientes, la seguridad de los datos con notificación de brechas en 72 horas, y los contratos de encargo del tratamiento y la conservación. El PDF de la guía está en polaco.
Los 5 estándares de protección de datos
Abra un estándar para ver la ley que lo respalda, qué se revisa, cuánto puede costar y las evidencias. Los plazos ideales de corrección se cuentan desde el envío de la auditoría.
DAN-01Consentimiento de marketingInmediato
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley de Protección de Datos Personales de 2018 · RGPD, arts. 6 y 7 · Ley de Comunicaciones Electrónicas: consentimiento para el marketing
- Qué revisamos
- Los mensajes de texto y correos electrónicos de marketing solo se envían a clientes que dieron un consentimiento separado, no premarcado, y darse de baja es fácil.
- Cuánto puede costar
- Multa de hasta 20 millones de euros o el 4 % de la facturación.
- Evidencia
- Formularios + prueba
DAN-02Cláusula informativa30 días
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley de Protección de Datos Personales de 2018 · RGPD, arts. 13 y 14: deber de información
- Qué revisamos
- Los clientes saben qué datos recopilamos, para qué, a quién los comunicamos (importador, bancos, aseguradoras) y cuánto tiempo los conservamos.
- Cuánto puede costar
- Multa de hasta 20 millones de euros o el 4 %.
- Evidencia
- Avisos de privacidad
DAN-03Solicitudes de derechos de los clientes7 días
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley de Protección de Datos Personales de 2018 · RGPD, arts. 12 y 15 a 22: solicitudes de los interesados
- Qué revisamos
- Las solicitudes de acceso, rectificación, supresión y oposición se registran y se atienden en el plazo de un mes.
- Cuánto puede costar
- Una reclamación ante la UODO y una multa de hasta 20 millones de euros.
- Evidencia
- Registro de solicitudes
DAN-04Seguridad de los datos24 horas
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley de Protección de Datos Personales de 2018 · RGPD, arts. 32 a 34: seguridad y notificación de brechas en 72 horas
- Qué revisamos
- Los documentos de los clientes (documentos de identidad, permisos de conducir, datos bancarios) están protegidos, los sistemas tienen MFA y las brechas se notifican a la UODO en un plazo de 72 horas.
- Cuánto puede costar
- Una multa como la de McDonald's: 16,9 millones de eslotis, más las reclamaciones de los clientes.
- Evidencia
- Fotos + configuración
DAN-05Contratos de encargo del tratamiento y conservación30 días
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley de Protección de Datos Personales de 2018 · RGPD, art. 28: contratos de encargo del tratamiento · art. 5(1)(e): limitación del plazo de conservación
- Qué revisamos
- Los proveedores (DMS, CRM, centro de llamadas) tienen contratos de encargo del tratamiento, y los datos antiguos se eliminan según el calendario.
- Cuánto puede costar
- Una multa tanto para el responsable como para el encargado del tratamiento.
- Evidencia
- Contratos + calendario
Cómo realizar una auditoría de protección de datos RGPD (RODO) en Polonia, paso a paso
- Confirme qué se aplica. Identifique cada canal en el que se recogen datos de clientes y a todos aquellos a quienes se comunican; los datos enviados al importador necesitan una base jurídica y deben describirse en la cláusula informativa.
- Recorra el punto de venta, estándar por estándar. Califique cada uno de los 12 puntos de control como Conforme, No conforme o N/A. N/A solo cuando el estándar lo excluya, con el motivo registrado. Revise los formularios de consentimiento y pruebe una baja, reúna las cláusulas de cada canal, recorra la sala de exposición para ver dónde se guardan los expedientes de los clientes y compruebe la MFA en el DMS y el CRM.
- Registre la evidencia. Un punto solo es conforme con pruebas registradas en el momento de la auditoría: formularios de consentimiento y resultados de las pruebas de baja, cláusulas informativas, el registro de solicitudes, fotos y configuración de los sistemas, contratos de encargo del tratamiento y el calendario de eliminación.
- Asigne a cada no conformidad un responsable y un plazo de corrección. Registre lo que vio y quién se encarga de corregirlo. Cada estándar tiene un plazo ideal de corrección, desde inmediato hasta 30 días, contado desde el envío de la auditoría (vea la tabla anterior).
- Corregir y demostrarlo. El punto de venta corrige la causa y sube la prueba del cierre; el auditor revisa la prueba antes de cerrar el hallazgo.
- Volver a verificar en la próxima auditoría. Confirme que los hallazgos cerrados siguen cerrados y busque la misma no conformidad en sus otros puntos de venta, para que una deficiencia no se repita en toda la red.
Para quién es esta guía
- Consejos de administración: la magnitud del riesgo
- Marketing y ventas: recoger el consentimiento correctamente
- Delegados de protección de datos (IOD) y auditores: probar el consentimiento y las solicitudes
Documento de referencia, no asesoramiento jurídico. Las multas y las normas cambian: consulte el texto vigente con el regulador o con su asesor jurídico antes de actuar.
