Guías de AutoSmartQué abarca esta guía
La AEPD (Agencia Española de Protección de Datos) multó a Vodafone con 8,15 millones de euros por llamadas y mensajes comerciales enviados sin consentimiento. Un concesionario maneja documentos de identidad, nóminas, datos de financiación e imágenes de cámaras. El RGPD permite multas de hasta 20 millones de euros o el 4 % de la facturación mundial, la cifra que sea mayor, y la AEPD puede prohibir el tratamiento.
Esta guía abarca 6 estándares de protección de datos para concesionarios y talleres, con 16 puntos de control: consentimiento para marketing, información a los clientes, derechos de los clientes, seguridad y brechas (notificadas en 72 horas), videovigilancia lícita y contratos con encargados del tratamiento. El PDF de la guía está en español.
Los 6 estándares de protección de datos
Abra un estándar para ver la ley que lo respalda, qué se revisa, cuánto puede costar y las evidencias. Los plazos ideales de corrección se cuentan desde el envío de la auditoría.
DAT-01Consentimiento de marketingInmediato
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley Orgánica 3/2018 (LOPDGDD) · RGPD, arts. 6 y 7 · LSSI, art. 21: comunicaciones comerciales electrónicas · LOPDGDD, art. 23: Lista Robinson
- Qué revisamos
- Los correos electrónicos, SMS y mensajes de WhatsApp comerciales solo se envían con un consentimiento separado que no viene marcado de antemano. Darse de baja es fácil, y se consulta la Lista Robinson antes de llamar a quien no es cliente.
- Cuánto puede costar
- Hasta 20 millones de euros o el 4 % de la facturación.
- Evidencia
- Formularios + prueba
DAT-02Información a los clientes30 días
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley Orgánica 3/2018 (LOPDGDD) · RGPD, arts. 13 y 14 · LOPDGDD, art. 11: información por capas
- Qué revisamos
- Los clientes saben qué datos recogemos, para qué, a quién se ceden (la marca, financieras y aseguradoras) y cuánto tiempo se conservan.
- Cuánto puede costar
- Hasta 20 millones de euros o el 4 %.
- Evidencia
- Avisos de privacidad
DAT-03Derechos de los clientes7 días
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley Orgánica 3/2018 (LOPDGDD) · RGPD, arts. 12 y 15 a 22: acceso, rectificación, supresión y oposición
- Qué revisamos
- Las solicitudes de acceso, rectificación, supresión y oposición se registran y se responden en un mes.
- Cuánto puede costar
- Hasta 20 millones de euros o el 4 %.
- Evidencia
- Registro de solicitudes
DAT-04Seguridad y brechas24 horas
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley Orgánica 3/2018 (LOPDGDD) · RGPD, arts. 32 y 33: seguridad del tratamiento · notificación de brechas en 72 horas
- Qué revisamos
- Los expedientes de clientes (documentos de identidad, nóminas, financiación) se guardan bajo llave y los accesos al DMS son personales. Las brechas se notifican a la AEPD en 72 horas.
- Cuánto puede costar
- Hasta 10 millones de euros o el 2 % por fallos de seguridad.
- Evidencia
- Fotos + lista de usuarios
DAT-05Videovigilancia lícita7 días
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley Orgánica 3/2018 (LOPDGDD) · LOPDGDD, art. 22: tratamientos con fines de videovigilancia
- Qué revisamos
- Las cámaras tienen un cartel informativo visible, no graban zonas de descanso ni vestuarios, y las imágenes se borran en un plazo máximo de un mes.
- Cuánto puede costar
- Hasta 20 millones de euros o el 4 % en los casos graves.
- Evidencia
- Fotos + configuración
DAT-06Encargados del tratamiento30 días
- La ley
- RGPD (Reglamento (UE) 2016/679) · Ley Orgánica 3/2018 (LOPDGDD) · RGPD, art. 28: contratos con encargados · plazos de conservación
- Qué revisamos
- Hay un contrato de encargo del tratamiento con el DMS, el centro de llamadas, la agencia de marketing y el proveedor de contactos comerciales. Los datos se borran cuando termina su plazo.
- Cuánto puede costar
- Hasta 10 millones de euros o el 2 %.
- Evidencia
- Contratos
Cómo realizar una auditoría de cumplimiento de protección de datos en España, paso a paso
- Confirme qué se aplica. Enumere cada canal que recoge datos de clientes y cada proveedor que los trata (DMS, centro de llamadas, agencia de marketing, proveedor de contactos comerciales). Los contactos de empresas (B2B) también son datos personales cuando identifican a una persona.
- Recorra el punto de venta, estándar por estándar. Califique cada uno de los 16 puntos de control como Conforme, No conforme o N/A. N/A solo cuando el estándar lo excluya, con el motivo registrado. Revise los formularios y pruebe el enlace de baja, tome una muestra de 5 solicitudes de derechos, compruebe armarios, escritorios y usuarios del DMS, y recorra las cámaras y la configuración del grabador.
- Registre la evidencia. Un punto solo es conforme con pruebas registradas en el momento de la auditoría: formularios de consentimiento y la prueba de baja, avisos de privacidad, el registro de solicitudes, fotos y la lista de usuarios del DMS, la configuración de las cámaras y los contratos con encargados.
- Asigne a cada no conformidad un responsable y un plazo de corrección. Registre lo que vio y quién se encarga de corregirlo. Cada estándar tiene un plazo ideal de corrección, desde inmediato hasta 30 días, contado desde el envío de la auditoría (vea la tabla anterior).
- Corregir y demostrarlo. El punto de venta corrige la causa y sube la prueba del cierre; el auditor revisa la prueba antes de cerrar el hallazgo.
- Volver a verificar en la próxima auditoría. Confirme que los hallazgos cerrados siguen cerrados y busque la misma no conformidad en sus otros puntos de venta, para que una deficiencia no se repita en toda la red.
Para quién es esta guía
- Dirección y DPD: comprender el riesgo
- Marketing y ventas: saber cuándo se puede contactar a un cliente
- Auditores: revisan formularios, armarios y cámaras
Documento de referencia, no asesoramiento jurídico. Las multas y las normas cambian: consulte el texto vigente con el regulador o con su asesor jurídico antes de actuar.
